上海企业 VPN 上了 MFA 还被绕过？问题在多留的那套登录方式

直接回答：这个洞绕的不是 MFA 本身，是“还有第二条不走 MFA 的登录路径”。先把 VPN 的认证入口收到只剩一条，再升版。

上海不少企业的远程接入是这么长起来的：最早用防火墙自带的本地账号，后来接了 AD 或 LDAP，再后来为了统一登录上了 SAML 单点。三套并存，谁也不关——因为“怕有人登不上”。11 月 6 日，SonicWall 在一份安全公告里发布了 7 个漏洞，其中一个正好打在这个习惯上：只要 SSLVPN 启用了 SAML，持有另一套认证方式有效凭据的人，就能绕过 SAML 的认证控制，并连带绕过 SAML 强制的多因素认证。

一批七个，真正扎手的是“没有缓解措施”

先看事实。公告编号 SNWLID-2026-0014，2026 年 11 月 6 日首次发布，同一批 7 个 CVE，厂商在“临时缓解措施”一栏写的是：无。这句话的分量比分数更重——它意味着在升版之前，没有任何官方推荐的配置手段能把风险关掉。

三个可核实的量化点：

• 分数不高，性质特殊。 CVE-2026-19868 的 CVSS 为 7.1（向量 AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N），归类 CWE-308“使用单因素认证”。同批还有两个 8.8 分打在管理界面上：CVE-2026-107155（跨域策略过宽，CWE-942）与 CVE-2026-107154（依赖 IP 地址做认证，CWE-291）。
• 受影响面写得很清楚。 Gen7 平台 7.3.3-7015 及更早、Gen8 平台 8.2.2-8015 及更早；修复版本分别为 7.3.4-7013 与 8.2.3-8015 及更高。
• 已经有人在用。 厂商 PSIRT 写明“已调查到该漏洞可能被利用的报告”；美国 CISA 同日（11 月 6 日）将其列入已知被利用漏洞目录，联邦机构修补期限给到 11 月 20 日，只有 14 天。

关键点藏在公告的一句 NOTE 里：这个漏洞只在 SSLVPN 启用 SAML 登录时才成立。也就是说，它不打在“没上 MFA”的企业身上，恰恰打在“上了 MFA 以为万事大吉”的企业身上。

图1：一批 7 个 CVE 里，7.1 分的那个绕的是 MFA

为什么“上了单点登录”反而多出一个入口

SAML 的设计前提是：所有人从同一条路进来，身份由 IdP 说了算。但现实中，VPN 上通常还留着几条备用通道：本地管理员账号，给外包和应急用；目录服务直连，给没进 IdP 的老账号用；有时还有一条给特定设备或合作伙伴的证书认证。

SAML 强制的 MFA 只作用在 SAML 这条路上。当系统把“另一套方式的合法凭据”当成有效身份、却漏掉 SAML 侧的校验时，MFA 就失效了。攻击者不需要 0 个凭据，只需要 1 个——而凭据泄露早已是最常见的入口：撞库、钓鱼、信息窃取木马留下的浏览器凭据。

这就是这个 7.1 分值得单独立项的原因：门槛不在技术多高，而在你有没有关掉那条路。

上海企业最常见的四处卡点

卡点一：备用账号没台账。 本地账号、测试账号、外包账号散在几个人手里，没人能说清“现在到底有几条路能进 VPN”。→ 以设备配置为准导出认证方式清单，不靠人回忆。

卡点二：不敢关，怕有人登不上。 关掉本地账号前，先按登录日志确认近 90 天还有谁在用这条路；无人使用就关，有人使用就先迁到 IdP 侧再关。

卡点三：管理界面直接暴露在公网。 同批那两个 8.8 分的漏洞打在管理界面上，说明“能管设备的那张页面”本身就是攻击面。→ 管理面只对内网或跳板机开放，公网只留业务端口。

卡点四：以为有 IPS 就挡得住。 认证绕过走的是合法登录流程，流量特征上不像攻击，边界设备很难判。→ 靠认证路径收敛和版本，不靠流量设备兜。

三条入口，现状决定动作

五步，顺序不能反

1. 盘入口：导出 SSLVPN 当前启用的全部认证方式，逐条标责任人。

2. 锁管理面：管理界面从公网撤回内网或跳板机，只留必要端口。

3. 关或迁备用通道：按登录日志判定，无人用直接关，有人用先迁到 IdP。

4. 升版：Gen7 升到 7.3.4-7013 及以上，Gen8 升到 8.2.3-8015 及以上。

5. 查历史：拉登录日志，看有无异常来源的成功登录、非工作时段登录、陌生设备。

图2：五步顺序，先收口再升版

威丽能承接的部分

上海威丽信息科技有限公司是上海本地化的企业 IT 运维与系统集成服务商。远程接入与边界设备这一层可承接：认证方式盘点与收敛、VPN 与防火墙配置核查、管理面访问策略调整、固件版本台账与分批升级、登录日志审计与异常排查，以及升级窗口的值守。服务以 10 分钟极速响应 / 2 小时现场服务 为标准，覆盖上海全域。

三个常见误区

• “我们 MFA 全量开了”：开了不等于只开了一条路。要看的是除 SAML 之外还有没有别的入口。
• “等厂商出补丁再动手”：补丁 11 月 6 日已随公告发出，公告写的是无缓解措施——等，等于把窗口留给自己。
• “7.1 分不高，可以排在后面”：分数衡量单点利用难度，不衡量“绕过你已投入的那层防护”的后果。

常见问题

问：只在内网用 VPN，也要处理吗？

答：要。内网入口一旦被打开（比如通过钓鱼拿到凭据），攻击者就在内网里了，内部 VPN 反而成了横向移动的加速器。

问：关掉本地账号会不会影响应急？

答：会，所以要先建替代方案：应急账号单独登记、单独设备，并从公网入口剥离，只允许从管理网段登录。

问：升级要停机吗？

答：通常需要短暂重启。放在业务低峰窗口，提前确认双机或旁路方案，把停机时间控在可接受范围内。

结语

这次最值得记住的不是 7.1 这个分数，而是公告里那行“无缓解措施”。厂商没给出配置层的临时办法，说明唯一的解是升版；而在升版之前，真正能降低风险的只有一件事——把 VPN 上的登录路径收到只剩一条。这件事不用等补丁窗口，今天就能做。

上海威丽信息科技有限公司 · 深耕上海本地企业 IT 服务近 20 年 · 累计服务 2500+ 家企业 · 服务热线 400-880-7581 · 技术热线 021-51697581-605/610 · 官网 https://www.vilitech.com

数据来源

• SonicWall PSIRT 安全公告 SNWLID-2026-0014（2026 年 11 月 6 日首次发布），含 7 个 CVE、受影响与修复版本、临时缓解措施为“无”
• 美国 CISA 已知被利用漏洞目录 2026 年 11 月 6 日新增条目 CVE-2026-19868，联邦修补期限 2026 年 11 月 20 日
• Security Affairs《U.S. CISA adds SonicWall SonicOS SSLVPN flaw to its Known Exploited Vulnerabilities catalog》（2026 年 11 月 7 日）