概要
SonicWallは9月2日、リモートアクセス製品「SMA 1000」シリーズに存在する2件のゼロデイ脆弱性が実際の攻撃で悪用されていると警告した。CVE-2026-83548はAppliance Work Placeインターフェースにおける認証前SSRF(Server-Side Request Forgery)で、CVSSスコアは最大値の10.0。もう一方のCVE-2026-83549はAppliance Management Console(AMC)におけるOSコマンドインジェクションで、CVSSは7.8とされている。SonicWallによれば攻撃者はこの2つを連鎖的に組み合わせ、任意のコードを標的機器上で実行しているといい、事実上「無認証のリモートコード実行」に相当する深刻な状況となっている。
攻撃チェーンの仕組みと技術的詳細
CVE-2026-83548は、認証を経ずにリモートからアクセス可能なSSRFの欠陥で、攻撃者はこれを足がかりに機密性の高い内部機能へのアクセスや不正操作を行える。単体では認証前に悪用できる強力な脆弱性だが、SonicWallの説明では、これに管理コンソール側のOSコマンドインジェクションであるCVE-2026-83549を組み合わせることで、任意のOSコマンドを実行できる状態に至るという。CVE-2026-83549自体は本来、管理者権限を持つ攻撃者による悪用を前提とした脆弱性だが、SSRFを起点に権限確認の壁を回避・迂回する形で連鎖利用されているとみられる。SonicWallは自社の内部検知でこの攻撃を把握したとしており、具体的な侵害指標(IOC)は本稿執筆時点で公開されていない。
影響範囲と推奨対応
影響を受けるのはSMA1000シリーズのモデル6210、7210、8200vで、バージョン12.4.3-03453以前および12.5.0-02835以前が対象。SonicWallのファイアウォール上で動作するSSL-VPN機能や、別製品であるSMA100シリーズはこの脆弱性の対象外となっている。セキュリティ団体Shadowserverの観測では、インターネットに公開されたSMA1000機器が400台以上確認されているという。SonicWallは修正版である12.4.3-03526および12.5.0-02952への即時アップグレードを強く呼びかけるとともに、侵害の兆候が見られる機器については再イメージ化、全ユーザー・管理者パスワードのリセット、TOTPトークンの再発行を推奨している。なお、SMA1000シリーズでは2025年12月以降、今回で3件目のゼロデイ悪用事案となる。7月にはCVE-2026-15409およびCVE-2026-15410が修正されたばかりで、この2件はその後CISAによりランサムウェアグループによる悪用も確認されている。さらに2025年12月にもroot権限奪取を目的とした攻撃で悪用されたCVE-2025-40602が発覚しており、同シリーズが攻撃者から継続的に狙われている実態が浮き彫りになっている。