MFA qua SAML có thể bị vượt qua trên VPN SonicWall

Đăng ngày 09/11/2026TMGS

Cam kết MFA cần được kiểm chứng ở đường đăng nhập

“VPN đã bật MFA” là một câu trả lời cần được xem xét kỹ hơn khi đánh giá lỗ hổng SonicWall CVE-2026-19868. Theo SecurityWeek, lỗ hổng có thể cho phép kẻ tấn công đang nắm thông tin đăng nhập của một phương thức khác vượt qua kiểm tra SAML, kể cả MFA được áp dụng qua SAML.

Chi tiết quyết định nằm ở thông tin đăng nhập của phương thức khác. Điều kiện được mô tả đòi hỏi kẻ tấn công có sẵn thông tin đăng nhập đó. Với người quản lý bảo mật, đây là lý do để kiểm chứng các đường xác thực thực tế của VPN khi đánh giá hiệu lực của chính sách MFA.

Theo nhận định của TMGS, câu hỏi hữu ích nhất lúc này là: doanh nghiệp có đủ bằng chứng để khẳng định những đường đăng nhập nào đang chịu sự kiểm soát của SAML?

Khoanh phạm vi bằng cả thiết bị và cấu hình

CVE-2026-19868 ảnh hưởng thành phần SSL VPN của SonicOS, hệ điều hành trên tường lửa SonicWall. Theo nhà cung cấp, SSL VPN chỉ bị ảnh hưởng khi đăng nhập dựa trên SAML được bật. Vì vậy, danh sách phiên bản cần được đối chiếu cùng cấu hình đang vận hành.

Gen7 TZ, NSa, NSsp và NSv chạy SonicOS 7.3.3-7015 hoặc cũ hơn nằm trong phạm vi ảnh hưởng.
Gen8 TZ, NSa và NSv chạy SonicOS 8.2.2-8015 hoặc cũ hơn cũng bị ảnh hưởng.
SonicOS 7.3.4-7013 và 8.2.3-8015 khắc phục vấn đề. Theo thông tin được công bố, không có giải pháp thay thế.

SonicWall cho biết nhóm bảo mật sản phẩm đã điều tra một báo cáo chỉ ra khả năng khai thác lỗ hổng. CISA cũng đã đưa CVE-2026-19868 vào danh mục Known Exploited Vulnerabilities, gọi tắt là KEV. Hai thông tin này tạo cơ sở để ưu tiên xử lý; chúng không xác nhận một hệ thống cụ thể của doanh nghiệp đã bị xâm nhập.

Giao việc theo kết quả có thể nghiệm thu

TMGS khuyến nghị doanh nghiệp tổ chức xử lý theo ba đầu việc có người chịu trách nhiệm rõ ràng:

Xác nhận phạm vi: ghi nhận dòng thiết bị, phiên bản SonicOS, trạng thái SSL VPN và việc bật đăng nhập SAML. Đồng thời rà soát những phương thức xác thực khác cùng các tài khoản còn được phép sử dụng.
Triển khai bản vá: chuẩn bị bản sao lưu cấu hình, kế hoạch khôi phục và cửa sổ bảo trì trước khi nâng cấp lên phiên bản khắc phục phù hợp. Sau nâng cấp, xác nhận phiên bản thực chạy và kiểm tra lại luồng đăng nhập, bao gồm bước MFA.
Rà soát dấu hiệu bất thường: kiểm tra nhật ký VPN và hệ thống danh tính, chú ý các phiên đăng nhập không phù hợp với hoạt động thông thường. Nếu phát hiện thông tin xác thực có dấu hiệu bị lộ, thu hồi phiên và thay đổi thông tin liên quan theo quy trình ứng phó.

Với doanh nghiệp Việt Nam thuê đối tác quản trị tường lửa, TMGS khuyến nghị đưa bằng chứng cấu hình và kết quả kiểm thử đăng nhập vào biên bản nghiệm thu. Đội nội bộ cần biết ai xác nhận phiên bản sau cập nhật, ai kiểm tra MFA và ai rà soát tài khoản truy cập từ xa. Một thông báo “đã nâng cấp” chưa trả lời được đầy đủ các câu hỏi đó.

Trong thời gian chờ bảo trì, TMGS khuyến nghị hạn chế nguồn truy cập VPN và vô hiệu hóa tài khoản không còn nhu cầu sử dụng nếu phù hợp với vận hành. Đây là biện pháp giảm rủi ro bổ sung; việc khắc phục lỗ hổng vẫn cần bản vá.