概要
SonicWallのSSL-VPNアプライアンス「SMA1000」シリーズに存在するCVSS満点(10.0)の認証前SSRF(サーバーサイドリクエストフォージェリ)脆弱性CVE-2026-102255が、10月6日のパッチ公開からわずか数日後の10月8日から9日にかけて実際の攻撃で悪用され始めたことが明らかになった。脅威インテリジェンス企業DefusedとPrevidian創業者のRyan Dewhurst氏がそれぞれ独自にハニーポット上で悪用の兆候を検出しており、10月12日時点までに米国内の2つのIPアドレスから135件の攻撃試行が確認されている。パッチ公開から実悪用までの期間が非常に短いことから、管理者には未適用の環境での早急な対応が改めて呼びかけられている。
脆弱性の技術的詳細
CVE-2026-102255は、SMA1000の管理コンソールであるWorkPlace Extrawebインターフェースの脆弱なパスを突く認証前SSRFで、6210、7210、8200vの各モデルが対象となる(廉価版のSMA 100シリーズは対象外)。攻撃者は細工したOPTIONSリクエストを送信することで、アプライアンス内部のループバックアドレス(127.0.0.1:5984)で稼働するCouchDBサービスに到達し、設計ドキュメントの_rewrite機能を呼び出すことで内部機能へ不正にアクセスできる。認証を一切必要としない点がCVSS 10.0(満点)という評価につながっている。SonicWallは10月6日、プラットフォームホットフィックス版12.4.3-03670および12.5.0-03082を公開し、この問題に対処した。
悪用の実態と攻撃者の狙い
DefusedとPrevidianの観測によれば、悪用は10月8日に始まり、Dewhurst氏のハニーポットでは「admin:admin」という認証情報を含むHTTP Basic認証ヘッダー付きの攻撃が検出された。The Hacker Newsが10月12日に報じた内容では、米国内の2つのIPアドレスから合計135件の攻撃試行が確認されている。過去のSMA1000侵害事例を踏まえると、攻撃者の狙いは高価値な認証情報、アクティブなセッション情報、TOTP方式の多要素認証(MFA)シード設定の窃取であり、これらを足がかりに内部ネットワークへの横展開を図るとみられる。SMA1000のようなリモートアクセス用VPNアプライアンスは組織の重要インフラへの入口となるため、侵害された場合の影響は大きい。
今後の対応
セキュリティ調査組織Shadowserverの調査では、現時点でインターネットに露出しているSMA1000機器が400台以上確認されているが、これらがパッチ適用済みかどうかは不明だ。パッチ公開から攻撃開始までの期間がわずか2〜3日という速さは、公開された脆弱性情報(アドバイザリやパッチの差分解析)を攻撃者が即座に武器化している実態を示しており、重要なネットワーク境界機器については修正パッチのリリース直後に速やかな適用が不可欠であることを改めて浮き彫りにしている。管理者は該当モデルの利用有無を確認し、未適用であれば直ちにホットフィックスを適用するとともに、WorkPlaceインターフェースへの不審なアクセスログを監視することが推奨される。