La CISA ha confirmado la explotación activa de SonicWall CVE-2026-19868 y ha metido la vulnerabilidad en su catálogo KEV. El fallo afecta al servicio SSLVPN de SonicOS y permite saltarse los controles de autenticación SAML, incluido el MFA que muchas organizaciones creen tener blindado.
Qué permite exactamente el bypass de SAML en SonicOS SSLVPN
El aviso del fabricante es corto y no deja margen a la interpretación: el servicio SSLVPN de SonicOS no aplica bien los controles de autenticación SAML, de modo que un usuario con credenciales válidas por un método alternativo puede saltarse el flujo SAML que la organización exige. CVSS 7.5. Catalogada como alta. Nada de zero-day exótico ni de exploit de película.
No es una vulnerabilidad de acceso remoto sin autenticar.
Esa distinción importa, y casi nadie la está contando bien. El atacante necesita credenciales previas: una cuenta filtrada, un usuario de servicio mal guardado, un password reutilizado, o un empleado comprado. Lo que ocurre después es lo verdaderamente grave. El SAML con MFA deja de ser la última línea de defensa y pasa a ser un decorado. La puerta se abre con una llave vieja y el segundo factor se queda mirando.
Para una administración pública o una empresa mediana el resultado práctico es idéntico: acceso remoto completo sin que el sistema de identidad registre nada anómalo. El inicio de sesión es válido. El usuario existe. El token no se ha forzado. Y el SOC revisa la consola sin encontrar la aguja, porque la aguja está usando el mismo camino que el personal legítimo.
La CISA metió el fallo en el catálogo KEV amparándose en la directiva BOD 22-01 y fijó el 20 de noviembre de 2026 como fecha límite para que las agencias federales del ejecutivo estadounidense lo tengan resuelto. Traducción para el lector no estadounidense: alguien ha visto explotación real en producción, no una prueba de laboratorio. Le adelanto que ese plazo, en la práctica, se va a incumplir en más de un departamento.
El MFA no falla: se rodea. Y cuando se rodea, la organización sigue viendo un inicio de sesión perfectamente válido en sus registros.
El equipo PSIRT de la firma californiana reconoce que investiga ‘un informe que indica una posible explotación de esta vulnerabilidad’ y pide actualizar ‘lo antes posible’. Fíjese usted en la fórmula: posible explotación. SonicWall no confirma ataques con nombre y apellidos. La CISA, que sí ha visto algo, actúa igualmente. Es la coreografía habitual del oficio.
Cuando el fabricante habla de posible explotación y la agencia cataloga sin matices, gana la agencia. Casi siempre.
SonicWall, la VPN cómoda y una década de accesos remotos mal parcheados
Los concentradores SSL-VPN son, desde hace al menos cinco años, el punto de entrada preferido por los grupos de espionaje y por el ransomware de Estado. La razón es estructural: un único aparato en el borde agrupa a toda la plantilla remota. Un exploit bueno ahí vale más que cien correos de phishing bien redactados. Y el aparato lo administra, casi siempre, un proveedor externo que no dispone de inventario completo de versiones.
El historial es contundente. En 2023, Citrix Bleed (CVE-2023-4966) dejó en evidencia a miles de NetScaler y fue utilizado por afiliados de ransomware para entrar en hospitales, entidades financieras y agencias públicas de varios países. A comienzos de 2024, las vulnerabilidades encadenadas de Ivanti Connect Secure permitieron a un actor estatal desplegar puertas traseras dentro de redes de defensa y telecomunicaciones en Europa y Estados Unidos. Ninguno de los dos casos era un acceso sin credenciales. Los dos acabaron en el catálogo KEV con plazos idénticos a este.
Nadie parchea un aparato que nadie apaga.
Ahí está el problema de fondo del caso SonicWall. Estas cajas llevan años sin reiniciarse, con la excusa de no cortar el teletrabajo de cuatrocientos empleados. Cuando aparece un bypass de autenticación, la actualización exige ventana de mantenimiento, coordinación con el integrador y, en no pocos casos, aceptar que el registro se llene de incidencias durante una semana. Es más fácil esperar a la próxima revisión trimestral. El parcheo urgente de una VPN nunca es un problema técnico, es un problema de jerarquía.
En España, el CCN-CERT mantiene su propio flujo de alertas de vulnerabilidades y el INCIBE publica avisos equivalentes para el tejido productivo. Ninguno de los dos sustituye al responsable de sistemas que no ha abierto el correo del fabricante. Lo escribí hace años en El quinto elemento y sigue vigente: en España hay 8.000 infraestructuras críticas y atacables a través de internet. La cifra no ha bajado; la plantilla de quienes las mantienen tampoco ha subido.
La lectura confidencial es otra y no conviene disimularla. Un bypass de SAML no sirve solo para robar. Sirve para llegar a la identidad corporativa, y desde ahí al proveedor de nube, al correo, al ERP y al dato del cliente. Quien controla la federación de identidad controla la empresa entera. Los servicios de inteligencia lo saben desde que la identidad se externalizó; los departamentos de compras, todavía no.
Dossier Moncloa: Ojos en la Sombra
Vector de amenaza: ciberataque con explotación de borde. Hablamos de un fallo de aplicación de controles, no de una inyección de memoria. El vector es limpio, difícil de detectar y reutilizable mientras el servicio SSLVPN siga expuesto a internet. La explotación no requiere malware, no deja payload y no necesita puerta trasera: el atacante entra por donde entra todo el mundo, con un usuario que ya existía. Por eso la CISA ha movido ficha con esta premura.
Agencias implicadas. En el ataque, la CISA no nombra actor alguno: lo catalogado es el fallo, no el culpable. Cualquier atribución a un grupo APT concreto sería hoy especulación, y en esta casa no se publica especulación como dato. En defensa, la CISA marca el calendario, el PSIRT de SonicWall parchea y mide el lenguaje, y el CCN-CERT recoge la alerta para el sector público español. En el tercer círculo, los CERT europeos y los equipos de inteligencia de amenazas de los grandes integradores observan: la fecha del 20 de noviembre les sirve de indicador de cuántos clientes van tarde.
Nivel de clasificación estimado: uso restringido. El CVE es público, el boletín es público, pero no es público el cuerpo de evidencia que llevó a la CISA a mover ficha ni el inventario de víctimas que esa evidencia implica. Ahí el asunto deja de ser una nota técnica y se convierte en material de contrainteligencia.
El precedente del oficio que mejor ilustra esto no es un espía, es una lista. La BOD 22-01 nació en noviembre de 2021 movida por la incomodidad de Washington ante la laxitud de las agencias federales a la hora de parchear. El catálogo KEV convirtió esa laxitud en plazo con fecha. Cinco años después funciona como termómetro: si tu proveedor no aparece en el KEV, o no te cuenta lo que pasa, o no tiene inventario. La transparencia del catálogo es también una forma de presión política.
Dicho lo cual, tengo una duda legítima y la pongo encima de la mesa. La CISA cataloga por explotación observada, pero no detalla el alcance. SonicWall habla de posible explotación. Entre ambas formulaciones cabe desde un honeypot federal hasta una campaña quirúrgica contra dos administraciones concretas. La atribución, en ciberguerra, es la parte del relato que siempre se escribe primero y se verifica último. Quien le diga a usted que sabe exactamente quién está detrás de SonicWall CVE-2026-19868, o tiene acceso a un informe clasificado, o le está vendiendo algo.
Lo que sí sabemos con certeza operativa es el calendario. El 20 de noviembre de 2026 vence el plazo para las agencias federales estadounidenses. Ese mismo día, los equipos de inteligencia de amenazas de medio mundo revisarán cuántas organizaciones han publicado su actualización y cuántas no. Y ahí, en el silencio de las que no, es donde se libra la próxima intrusión.
