概要

CISA(米サイバーセキュリティ・インフラセキュリティ庁)は、SonicWallのエンタープライズ向けリモートアクセスゲートウェイ「SMA1000」シリーズに存在する2件の脆弱性(CVE-2026-15409、CVE-2026-15410)がランサムウェア攻撃に悪用されているとして警告を発し、既知の悪用脆弱性(KEV)カタログに追加した。SMA1000は大企業や政府機関、MSSP(マネージドセキュリティサービスプロバイダ)がVPN経由で社内システムへアクセスするために利用する製品であり、Shadowserverの調査ではインターネットに露出したままの機器が380台以上確認されている。連邦政府機関に対しては、CISAが定める拘束的運用指令に基づき7月17日までのパッチ適用が義務付けられていた。

脆弱性の詳細

悪用されている2件の脆弱性は、単独でも危険だが組み合わせることでアプライアンスの完全な乗っ取りを可能にする。

  • CVE-2026-15409: SMA1000のワークプレイスインターフェース、/wsproxyエンドポイントに存在するサーバーサイドリクエストフォージェリ(SSRF)。CVSSスコアは最大値の10.0で、有効な認証情報やユーザー操作なしに、認証されていないリモート攻撃者が悪用できる。
  • CVE-2026-15410: 管理コンソールのポート8188で提供されるホットフィックス削除ワークフローに存在する不適切なコード生成(コマンドインジェクション)の欠陥。CVSSスコアは7.2で、管理コンソールで認証済みの攻撃者が任意のOSコマンドをroot権限で実行できる。

攻撃者はまずSSRFの脆弱性で保護された内部機能へのアクセスを確立し、続いてコマンドインジェクションの脆弱性でアクセスを昇格させ、アプライアンスのroot権限を奪取するという手順を踏んでいるとみられる。対象となるのはSMA 6210、SMA 7210、SMA 8200vで、いずれもファームウェアバージョン12.4.3系および12.5.0系のホットフィックスリリースが影響を受ける。SonicWallは12.4.3-03453以降、12.5.0-02835以降で修正版を提供しており、回避策は存在しないためパッチ適用が必須となっている。

悪用の状況と背景

今回の脆弱性は2026年7月中旬に修正パッチが公開されたが、脅威アクターはそれ以前の6月22日の時点からゼロデイとしてこれらを悪用していたことが判明している。つまり公表の3週間以上前から実際の攻撃が行われていたことになる。セキュリティ企業Resecurityは、確認された攻撃をINCランサムウェアの関連グループに関連付けており、Ransomware.Liveの集計ではこのグループによる被害企業は885件に上るとされる。またインシデント対応企業Volexityは、UTA0533と呼ばれる脅威クラスタがこれらの脆弱性を通じてKNUCKLEBALL、Sou5、ROOTRUN、ORANGETAILといった独自のカスタムマルウェアを展開していたことを確認したと報告している。侵害を受けた組織では、高権限の認証情報やアクティブセッションデータベース、TOTP多要素認証のシード情報が窃取された事例も確認されている。

なお、CISAは同時期にMicrosoft SharePointのデシリアライゼーション脆弱性(CVE-2026-45659、CVSSスコア8.8)もKEVカタログに追加しており、こちらもインターネットに公開された8,500台以上のサーバーのうち200台以上が未パッチのままであることが判明している。SharePoint側の攻撃者は特定されていないが、両脆弱性が同時期にKEV入りしたことは、公開システムへの攻撃圧力が高まっていることを示している。

推奨される対応

CISAおよびセキュリティ研究者は、SonicWall SMA1000シリーズの利用者に対し、修正済みバージョンへの即時アップデートを強く推奨している。侵害の痕跡を確認するには、extraweb_access.log内の/api/login、/api/logout、/wsproxyへの予期しないリクエストや、ctrl-service.log内の不審なホットフィックスロールバック活動を確認することが有効とされる。侵害の可能性が疑われる場合は、単なるパッチ適用にとどまらず、アプライアンスを完全に再イメージ化した上で、すべてのパスワードとTOTPトークンをリセットすることが推奨されている。インターネットに露出したSMA1000がいまだ380台以上残っている状況を踏まえると、今後も同脆弱性を狙った攻撃が続く可能性が高く、早急な対応が求められる。