最近公開されたSonicWall SMA 1000の2件の脆弱性――CVE-2026-15409とCVE-2026-15410――は、開示される数週間前からゼロデイ攻撃で悪用され、脅威アクターが脆弱なVPNアプライアンスに独自のマルウェアをインストールできる状態にあったことが、Volexityの研究者らによって明らかになりました。
侵入は、これらの脆弱性が一般に公開されるはるか以前の2026年6月22日には既に始まっていました。研究者によれば、攻撃者の狙いはステルス性の高い長期的アクセスの確保にあり、いったん侵入すると保存済みまたはキャッシュされた認証情報にアクセスし、ネットワークトラフィックを捕捉し、アプライアンスが処理する認証情報を傍受できる可能性がありました。
ゼロデイエクスプロイトを駆使してデバイスを侵害する能力があったにもかかわらず、「入手可能な証拠からは、この脅威アクターが横方向への移動や他システムへのアクセス獲得にはあまり成功していなかったことがうかがえる」と研究者は付け加えています。
攻撃の経緯
Volexityは、侵害された2台のアプライアンスについて、ログ、ディスクイメージ、メモリを分析することができました。これらのアプライアンスは通常、中堅・大企業や多国籍企業、政府機関、マネージドセキュリティプロバイダー向けの安全なリモートアクセスゲートウェイとして機能するものです。
攻撃の連鎖（出典: Volexity）
調査により、攻撃グループはまずCVE-2026-15409（SSRFの脆弱性）を悪用し、公開インターネットから内部専用サービスへのトンネルを開いていたことが判明しました。これにより、バンドルされたCouchDBデータベースや内部制御サービスを含む3つのローカルホストサービスが露出しました。
バンドルされているCouchDBにはadmin:adminというハードコードされた認証情報が設定されており、本来はローカルホストからのみアクセス可能ですが、SSRFトンネルによってアクセス範囲に入ってしまいました。攻撃者はこれを利用してスクリプトを書き込み・実行し、ハードウェアIDファイルを読み取ることで、「コマンドインジェクション、権限昇格、コード実行に対して脆弱だったsysCtrlエンドポイント内のメソッドにアクセスできる」ようになりました。
ここから攻撃者は2つ目の脆弱性であるCVE-2026-15410を悪用しました。これは任意のOSコマンドを実行できるコードインジェクションの脆弱性です。攻撃者は仕掛けを施したファイルパスを使い、デバイス上で最高権限を持つ独自スクリプトを実行しました。
root権限を取得すると、攻撃者は権限昇格ツール(ROOTRUN、ファイル名: xzfind)とPythonベースのローダー(KNUCKLEBALL、ファイル名: deploy_new.py)をインストールしました。後者は、マルウェアをメモリ上に留めておくため、正規に稼働しているSonicWallプロセスに2つの隠しJavaコンポーネントを直接注入しました。
コンポーネントの一つはトラフィックの中継用にオープンソースのプロキシツール(Suo5、ファイル名: agent_wp8.jar)で、もう一つはVolexityがORANGETAILと呼ぶ独自のWebシェル(ファイル名: agent_wp9.jar)でした。このWebシェルは、特定のわずかに改変されたブラウザ識別文字列を伴うリクエストにのみ応答し、攻撃者が送信したJavaペイロードを実行するものです。
最後に、攻撃者はアプライアンスのWeb設定を書き換え、一見無害に見えるWebアドレスが密かにSuo5とORANGETAILへ転送されるようにし、認証情報を捕捉・利用することで対象組織のネットワーク内へさらに侵入を試みました。
防御側が取るべき対策とは
パッチ適用は必要ではありますが、それだけでは十分ではありません。
SonicWallは、侵害の痕跡が見つかった組織に対し、該当アプライアンスの再イメージ化または再展開、すべてのユーザーおよび管理者パスワードの変更、TOTPトークンのリセットを推奨しています。同社は、アップデートを適用した後も、顧客はログを確認して侵害の痕跡がないか調べるべきだと強調しています。
Volexityの研究者は、攻撃者が使用したマルウェアファミリーを組織が検知できるよう、侵害の痕跡(IOC)とYARAシグネチャを公開し、以下の点を確認するよう助言しています。
- SonicWall SMAアプライアンスからの想定外の接続
- /var/tmpおよび/tmp内の想定外のファイル
- nginx設定ファイル(/var/lib/unit/conf.json)内の想定外のルート
- 想定外のsetuidバイナリ
