研究者ら、SonicWall SMA1000の悪用開始を6月下旬まで遡って特定

SonicWall SMA1000アプライアンスに存在する2件の重大な脆弱性が、6月下旬からゼロデイとして悪用されていることが、ワシントンD.C.を拠点とするサイバーセキュリティ企業Volexityが金曜日に発表したレポートで明らかになりました。 

UTA0533として追跡されている脅威アクターが、6月22日に始まった今回の脅威活動に関連しているとされています。これは、SonicWallが7月14日にSMA1000リモートアクセスアプライアンス向けの2件の重大な脆弱性に対するホットフィックスをリリースする約3週間前のことです。 

この悪用は、SMA1000アプライアンスのWork Place Interfaceに存在するサーバーサイドリクエストフォージェリ(SSRF)の脆弱性に関連しており、CVE-2026-15409として追跡されています。攻撃者が意図しない場所へリクエストを送信できるこの脆弱性は、深刻度スコア10を記録しています。

SMA1000アプライアンス管理コンソールに存在するコードインジェクションの欠陥は、CVE-2026-15410として追跡されており、認証済みの攻撃者が任意のコマンドを実行できる可能性があります。このコードインジェクションの欠陥は、攻撃シーケンスの中でサーバーサイドリクエストフォージェリの脆弱性と連鎖して利用されます。

Volexityによると、脅威アクターはKnuckleballというマルウェアを使ってSMA向けのマルウェアインプラントを投下していました。このインプラントには、研究者らがOrangetailと呼ぶウェブシェルが含まれていました。  

Rapid7の研究者らは、これらの脆弱性が悪用に成功した場合、組織が攻撃に対して極めて脆弱な状態に陥りかねないと述べています。 

「この攻撃チェーンが悪用に成功すると、未認証の攻撃者にroot権限でのリモートコード実行を許してしまうため、顧客環境へのリスクは深刻です」と、Rapid7の脆弱性インテリジェンス担当ディレクター、Douglas McKee氏はCybersecurity Diveに語りました。「侵入に成功すると、脅威アクターはローカルの認証情報、アクティブなセッションデータベース、そして多要素認証(MFA)のシードを組織的に収集し、長期にわたる持続的なアクセスを維持しようとします」

McKee氏によると、当初の脅威活動はVPNホスティングプロバイダーであるF.N.S. Holdings Ltd.に割り当てられた複数のIPアドレスに関連していました。しかし、より最近になって INCランサムウェアとの関連性が指摘されるようになりました。INCランサムウェアは、二重恐喝の手法を用いるランサムウェア・アズ・ア・サービス(RaaS)集団です。

Huntressの研究者らは7社の顧客がこのSonicWallの脆弱性の悪用による影響を受けたことを確認したとしています。研究者らは、今回の脅威活動には「2つの異なる攻撃者グループ」が関与していると述べています。 

脅威アクターは、Windowsの認証情報を抽出するためのPythonツールであるImpacketのSecrets Dumpを使って認証情報の窃取を試みました。またハッカーらは、Active Directory環境から認証情報を取得できるDCSyncも使用していました。 

修正策の適用を

SonicWallによると、同社のインシデント対応の専門家はこれらの脆弱性に関連する多数の事例に対応してきたとのことで、顧客に対しできるだけ早くホットフィックスへのアップグレードを行うよう呼びかけています。 

同社は、これらの脆弱性がSonicWallファイアウォール上で稼働するSSL-VPNやSMA100シリーズ製品には影響しないとしています。 

米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、7月14日にこの2件の脆弱性を既知の悪用済み脆弱性(KEV)カタログに追加しました。