VPN aziendali: quando l’MFA non basta a proteggere il percorso di accesso

La notizia e i limiti della verifica

Un dipendente accede alla VPN aziendale attraverso un servizio di autenticazione centralizzato. Inserisce le credenziali, completa il secondo fattore e raggiunge le applicazioni interne. L’organizzazione considera questo passaggio una barriera importante contro gli accessi abusivi. Ma il risultato dipende anche dal dispositivo che applica le regole: occorre verificare che tutti i percorsi disponibili rispettino effettivamente il controllo previsto.

Il 6 novembre 2026 BleepingComputer ha segnalato aggiornamenti SonicWall per vulnerabilità di SonicOS, includendo un problema relativo all’autenticazione SSL-VPN. Un bollettino ufficiale del Canadian Centre for Cyber Security, pubblicato nella stessa data, riferisce che SonicWall indica lo sfruttamento di CVE-2026-19868 e conferma l’inserimento della vulnerabilità nel catalogo CISA Known Exploited Vulnerabilities. Questo è il fatto verificato; non dimostra che una specifica azienda sia stata compromessa. [1] [2]

La lettura tecnica richiede però attenzione. Le fonti consultate non riportano in modo uniforme una delle versioni SonicOS coinvolte. Inoltre, la pagina PSIRT del produttore non ha restituito un contenuto leggibile attraverso lo strumento di consultazione. Non sarebbe corretto trasformare questi risultati in una tabella apparentemente definitiva. Prima dell’intervento, l’amministratore deve verificare nel bollettino SonicWall la corrispondenza tra modello, generazione, firmware installato e aggiornamento applicabile.

Ricostruire tutti i percorsi

La prima attività proposta da DM Web Solution è individuare i gateway realmente utilizzati. L’inventario dovrebbe comprendere dispositivi principali, apparati di riserva, sedi secondarie e accessi amministrati da fornitori. Per ciascuno servono un responsabile, una versione verificata e una descrizione del servizio esposto. Il nome commerciale riportato in un contratto non sostituisce il controllo della configurazione in esercizio.

Il secondo passaggio riguarda l’autenticazione. Quale sistema identifica gli utenti? Dove viene richiesto il secondo fattore? Esistono account locali, gruppi con impostazioni differenti o modalità alternative di accesso? Queste domande non presuppongono una configurazione errata: servono a ricostruire il percorso completo. La presenza dell’MFA presso il servizio centrale, da sola, non descrive ogni possibile comportamento del gateway.

Consideriamo uno scenario ipotetico. Un’impresa utilizza l’identità centralizzata per il personale, ma conserva un percorso locale per attività di manutenzione. La verifica deve stabilire se quel percorso sia necessario, chi possa utilizzarlo e quali controlli lo proteggano. L’obiettivo non è disattivare indiscriminatamente gli accessi di emergenza, bensì renderli conosciuti, limitati e coerenti con le responsabilità operative.

Aggiornamento e controllo

L’aggiornamento va organizzato insieme a chi dipende dalla VPN. Un’interruzione può impedire l’assistenza remota, il lavoro di una sede o l’accesso a servizi essenziali. Prima della modifica occorre conoscere le indicazioni del produttore, conservare una configurazione recuperabile e predisporre un canale amministrativo appropriato. Una vulnerabilità urgente richiede decisioni rapide, ma anche la capacità concreta di eseguire e verificare l’intervento.

Dopo l’installazione, il controllo dovrebbe andare oltre il riavvio dell’apparato. Conviene verificare il firmware effettivamente in uso, il funzionamento dell’autenticazione prevista, i permessi dei gruppi e la disponibilità dei servizi necessari. Il risultato deve essere documentato senza inserire password, segreti o configurazioni complete in ticket accessibili a un pubblico troppo ampio.

La valutazione delle attività precedenti resta un lavoro distinto. Registri VPN, eventi dell’identità centrale e informazioni degli endpoint possono aiutare a ricostruire accessi insoliti. Un’anomalia merita approfondimento, ma non è automaticamente una prova di compromissione. Allo stesso modo, l’assenza di eventi sospetti nei dati disponibili deve essere descritta insieme ai limiti di copertura e conservazione dei registri.

Un risultato documentato

Per la direzione, la chiusura utile è un quadro leggibile: apparati verificati, aggiornamenti completati, eccezioni aperte, controlli eseguiti e responsabilità residue. La lezione aziendale riguarda l’intera catena di accesso. L’MFA rimane una misura importante, ma la sua efficacia richiede dispositivi aggiornati, percorsi alternativi governati e verifiche sul comportamento reale del servizio.