Գործակալությունը SonicWall-ի մեկ գործոնով նույնականացման խոցելիությունը՝ CVE-2026-19868-ը, ներառել է հայտնի և շահագործվող խոցելիությունների ցանկում՝ առաջնահերթ դարձնելով դրա շտկումը՝ ըստ ռիսկի մակարդակի։
ԱՄՆ կիբեռանվտանգության և ենթակառուցվածքների անվտանգության գործակալությունը (CISA) նոյեմբերի 6-ին հայտնել է, որ SonicWall-ի SonicOS SSL-VPN ծառայության CVE-2026-19868 խոցելիությունն ընդգրկել է հայտնի շահագործվող խոցելիությունների իր ցանկում՝ հայտնաբերելով ապացույցներ, որ հարձակվողներն ակտիվորեն շահագործում են այն։ Գործակալությունը թերությունը բնորոշում է որպես միագործոն նույնականացման խոցելիություն։
BleepingComputer-ը գրել է, որ SonicWall-ը շտկել է խոցելիությունը SonicOS-ի 7.3.4-7013 և 8.2.3-8015 տարբերակներում։ SonicWall-ի խոսքով՝ այլընտրանքային լուծումներ չկան։ Թարմացումները շտկում են նաև SonicOS-ի ևս 6 խոցելիություն։
Խոցելիությունը վերաբերում է միայն SonicOS-ի այն SSL-VPN ծառայություններին, որոնք կազմաձևված են նույնականացման SAML մեթոդն օգտագործելու համար։ Նույնականացման մեկ այլ մեթոդի վավեր տվյալներ ունեցող հարձակվողը կարող է շրջանցել SAML-ի վերահսկման մեխանիզմները, այդ թվում՝ հնարավոր է նաև մեկից ավելի եղանակով ինքնությունը հաստատելու պահանջը։ Խոցելիության ծանրության գնահատականը CVSS սանդղակով 7,1 է։
| Սերունդ | Խոցելի տարբերակներ | Շտկված տարբերակ |
|---|---|---|
| Gen7 | 7.3.3-7015 և ավելի վաղ | 7.3.4-7013 |
| Gen8 | 8.2.2-8015 և ավելի վաղ | 8.2.3-8015 |
Գործակալությունը դաշնային գործադիր իշխանության քաղաքացիական գերատեսչություններին հանձնարարել է մինչև 2026 թ․ նոյեմբերի 20-ը պաշտպանել տուժած համակարգերը։
Գործակալության խոսքով՝ իր պարտադիր 26-04 հրահանգը գերատեսչություններից պահանջում է առաջնահերթ արագ շտկել ցանկում ընդգրկված բարձր ռիսկի խոցելիությունները՝ հանրային հասանելիություն ունեցող համակարգերում, երբ դրանց շահագործումը հարձակվողին կտա համակարգի լիակատար վերահսկողություն։ Ավելի ցածր ռիսկի խոցելիությունների վերաբերյալ գործողությունները գերատեսչությունները հետաձգում են։ Հրահանգը նաև սահմանում է, թե երբ գերատեսչությունները պետք է ստուգեն՝ արդյոք համակարգը վտանգվել է մինչև շտկումը։
Հրահանգը վերաբերում է միայն այդ դաշնային գերատեսչություններին։ Գործակալությունն այլ կազմակերպություններին հորդորում է խոցելիությունները կառավարել՝ ելնելով ռիսկից, և առաջնահերթ շտկել ցանկում ընդգրկված թերությունները։
Bloomberg-ի հաղորդմամբ՝ Microsoft-ը հրաժարվել է երկարաձգել պայմանագիրը և անջատում է վարձակալած հզորությունները՝ վերանայելով ամպային գործընկերությունները։
2 րոպե
Նոյեմբերի 6-ին սկսված գործընթացով Muse-ի և Meta AI-ի օգտատերերին հասանելի են դառնում Wonder-ի միջոցով ուսուցանված մասնագիտացված մոդելներ, իսկ բաժանորդները բարդ առաջադրանքների համար շարունակում են օգտվել հենց Wonder-ից։
2 րոպե
Նախարարությունը նախատեսում է իր մշակած գերբանականության (ԳԲ) գործիքով ստուգել նոյեմբերի 10-ի բերքի զեկույցը՝ սեպտեմբերյան գնահատականների սխալներից հետո, որոնք թուլացրել են շուկաների վրա ազդող տվյալների նկատմամբ վստահությունը։
2 րոպե
Ավելացվել են խոցելի և շտկված տարբերակները, շահագործման պայմանները, ծանրության գնահատականը, լրացուցիչ շտկումները, շրջանցիկ լուծումների բացակայությունն ու դաշնային գերատեսչությունների վերջնաժամկետը։
