SonicWall SSL VPN'de SAML açığı: MFA atlatılabiliyor, yama çıktı

SonicWall, SonicOS işletim sisteminin SSL VPN bileşeninde yer alan ve kimlik doğrulamanın atlatılmasına imkân tanıyan bir güvenlik açığı için yama yayımladı. CVE-2026-19868 kodlu açık, SonicWall'un 6 Kasım 2026 tarihli SNWLID-2026-0014 numaralı güvenlik bülteninde yüksek önem derecesiyle, CVSS 7,1 puanla duyuruldu.

Açık tam olarak ne yapıyor?

Sorun, SAML tabanlı oturum açmanın etkin olduğu SSL VPN yapılandırmalarında ortaya çıkıyor. Başka bir kimlik doğrulama yöntemi için geçerli kullanıcı bilgisine sahip olan bir kişi, SAML denetimlerini devre dışı bırakacak şekilde oturum açabiliyor. Bunun en kritik sonucu şu: SAML üzerinden zorunlu kılınan çok faktörlü kimlik doğrulama (MFA) da atlatılabiliyor.

Burada iki ayrıntıya dikkat etmek gerekiyor. Birincisi, açık kimliksiz bir uzaktan kod çalıştırma zafiyeti değil; saldırganın elinde zaten geçerli bir kullanıcı adı ve şifre bulunması gerekiyor. İkincisi, tam olarak bu nedenle tehlikeli: sızdırılmış veya oltalama ile ele geçirilmiş bir parola, normalde MFA duvarına çarpar. Bu açıkta ise o duvar devreden çıkıyor.

SonicWall, açık için herhangi bir geçici çözüm (workaround) bulunmadığını bildiriyor. Tek çözüm yamaya geçmek.

Etkilenen ve düzeltilen sürümler

• Gen 7 TZ, NSa, NSsp ve NSv cihazlarda SonicOS 7.3.3-7015 ve öncesi etkileniyor. Düzeltme: 7.3.4-7013.
• Gen 8 TZ, NSa ve NSv cihazlarda SonicOS 8.2.2-8015 ve öncesi etkileniyor. Düzeltme: 8.2.3-8015.

Açığı SonicWall'a The Electronic Office firmasından Ryan Harris bildirdi.

Neden şimdi önemli?

ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA, açığı 6 Kasım 2026'da "Bilinen Sömürülen Zafiyetler" (KEV) kataloğuna ekledi ve federal kurumlar için son düzeltme tarihini 20 Kasım 2026 olarak belirledi. SonicWall ise ürün güvenlik ekibinin "olası sömürüye işaret eden bir bildirimi incelediğini" açıkladı. Saldırıların kapsamına dair ayrıntı henüz paylaşılmadı ve açığın yama öncesinde sıfırıncı gün olarak kullanıldığı doğrulanmış değil.

Buna rağmen tablo net: CISA'nın KEV kataloğuna girmiş bir açık, artık teorik bir risk değil. SSL VPN ise saldırganların en sevdiği giriş kapısı — çünkü doğrudan internete bakar ve başarılı bir oturum, kurum ağının içinde geçerli bir kullanıcı oturumu demektir.

Türkiye ve KOBİ tarafındaki karşılığı

SonicWall, Türkiye'de KOBİ ve orta ölçekli kurum segmentinde yaygın kullanılan bir güvenlik duvarı markası. Özellikle şube-merkez bağlantısı, saha personeli ve uzaktan çalışan beyaz yakası olan şirketlerde SSL VPN fiilen şirket ağının ana kapısı durumunda. İnşaat ofisleri, denizcilik ve acente firmaları, lojistik şirketleri ve çok noktalı üretim yapılarında bu kapı neredeyse her gün kullanılıyor.

Pratikte en riskli grup, güvenlik duvarını bir kez kurdurup yıllarca firmware güncellemesi yapmayan şirketler. Burada ikinci bir risk de var: SAML/MFA kurulmuş olmasına güvenip VPN hesap hijyenini gevşetmek. Bu açık, tam olarak o varsayımı hedef alıyor.

Kamer Bilişim olarak ne öneriyoruz?

• Firmware sürümünüzü bugün kontrol edin ve yamayı uygulayın. SonicOS arayüzünde çalışan sürümü doğrulayın; Gen 7 için 7.3.4-7013, Gen 8 için 8.2.3-8015 sürümüne geçin. Geçici çözüm olmadığı için yamayı ertelemenin bir alternatifi yok. Güncelleme öncesi yapılandırma yedeğini almayı ihmal etmeyin.
• SSL VPN kullanıcı listenizi temizleyin ve parolaları yenileyin. Açık geçerli kimlik bilgisi gerektirdiği için, ayrılmış personelin hesapları, ortak kullanılan hesaplar ve yıllardır değişmeyen parolalar asıl zafiyet noktası. VPN erişimini yalnızca gerçekten ihtiyacı olan kullanıcılarla sınırlayın.
• VPN oturum kayıtlarını geriye dönük inceleyin. Alışılmadık saatlerde, beklenmeyen ülkelerden veya aynı hesapla farklı konumlardan gelen başarılı oturumları arayın. Güvenlik duvarı loglarını merkezi olarak toplamıyorsanız, bu olayı bunun için gerekçe sayın.

SonicWall veya başka bir markanın güvenlik duvarını kullanıyor, ancak güncel sürümde olup olmadığınızdan emin değilseniz; İstanbul Anadolu Yakası genelinde ve uzaktan destekle güvenlik duvarı envanteri, firmware güncellemesi ve VPN erişim denetimi hizmeti veriyoruz. İletişim sayfasından bize ulaşabilirsiniz.

Kaynak: SecurityWeek, "SonicWall Patches Exploited SonicOS Vulnerability That Weakens VPN Logins", 7 Kasım 2026; SonicWall PSIRT bülteni SNWLID-2026-0014; CISA Known Exploited Vulnerabilities kataloğu.