SonicWall SMAの深刻な脆弱性、攻撃で悪用中

VPNゲートウェイが狙われる理由

企業は社内ネットワークの境界にVPNゲートウェイを設置します。これはリモート従業員が社内システムに安全に接続できるようにするためです。そのため、こうしたデバイスはサイバー犯罪者にとって格好の標的となりやすい状況にあります。

2026年7月14日、SonicWallはSMA 1000シリーズに存在する2件の深刻な脆弱性についてセキュリティ勧告を発表しました。これらの欠陥にはCVE-2026-15409が含まれており、CVSS 3.1スコアは10点となっています。もう一方の欠陥であるCVE-2026-15410は、スコア7.2を記録しています。

脅威アクターによる早期の悪用

ベンダーが7月14日にパッチをリリースしたものの、Volexityはそれよりもかなり早い段階でこれらの脆弱性が実際に悪用されていることを検知していました。同社の観測によれば、攻撃は公表の3週間前にあたる6月22日から始まっていました。セキュリティ研究者は、この初期侵入をUTA0533と呼ばれる脅威グループと関連付けています。その後、INCランサムウェアグループがこの脆弱性チェーンを取り入れ、最終的にはこの手口の主たる悪用者となりました。

認証メカニズムの回避

1つ目の脆弱性は、/wsproxyエンドポイントを介して攻撃者が認証を回避できてしまうというものです。攻撃者は「SMA Connect Agent」を偽装したUser-Agentヘッダーと特定のパラメータを付与したリクエストを送信するだけで済みます。その結果、デバイスはこのリクエストを正規の内部トラフィックとして受け入れてしまいます。

この欺瞞行為により、本来デバイス自身からしかアクセスできないはずの制限されたサービスへのトンネルが開かれます。これにはCouchDBデータベースやctrl-serviceコンポーネントが含まれます。攻撃者はCouchDBを通じてファイルの読み書きが可能になります。権限の低いアカウントを使ってこれを実行することで、侵害したデバイス上に悪意あるスクリプトを設置できるようになるのです。

システム権限の昇格

2つ目の脆弱性は、ctrl-serviceのアップデート削除機能に存在します。この欠陥により、攻撃者はディレクトリトラバーサル文字を使って許可されたディレクトリから抜け出すことが可能になります。その結果、システムは事前に配置しておいたファイルをスーパーユーザー権限で実行してしまいます。この権限昇格により、攻撃者はデバイス全体を完全に掌握することになります。

悪意あるペイロードの展開

侵害の後、侵入者は一連の悪意あるソフトウェアをインストールします。彼らはROOTRUNと呼ばれるルート権限のバックドアを展開します。これは防御側が他のツールを排除しても存続し続けます。さらに、KNUCKLEBALLローダーも利用します。このローダーは、正規のJavaプロセスのメモリ空間に悪意あるコードを直接注入します。

加えて、攻撃者はステルス性の高いトラフィックトンネリングやリモートコマンド実行用のツールも展開します。一部の侵害されたデバイスでは、攻撃者は暗号化されていないLDAPトラフィックを傍受していました。この行為により、貴重な従業員の認証情報を窃取することができたのです。

世界的な被害と恐喝の手口

Resecurityによる最新の分析によれば、2026年8月1日時点で相当数の脆弱なデバイスが未対策のまま放置されていました。その間にもINCランサムウェアグループは、オーストラリア、米国、UAE、コロンビア、スイスにまたがる新たな被害者のデータを公開しています。

同セキュリティ企業は、憂慮すべき恐喝の手口についても報告しています。被害を受けた複数の組織が、仲介者を名乗る人物から電話やメールで身代金要求を受けていました。興味深いことに、これらの連絡に関連するドメインは6月上旬に登録されていました。これは脆弱性の公式発表よりもかなり前の時期にあたります。

必要な対応策

管理者は、影響を受けるファームウェアバージョンで稼働しているSMA 1000デバイスを直ちに更新する必要があります。バージョン12.4.3-03453、12.5.0-02835、またはそれ以降にアップグレードすべきです。さらに、パッチ適用前に脆弱なデバイスがインターネットからアクセス可能な状態にあった場合、組織はそのデバイスが侵害された可能性があるものとして扱わなければなりません。

セキュリティチームは、こうしたシステムに侵害の痕跡がないか徹底的に調査する必要があります。調査の結果、侵入の痕跡が見つかった場合は、ファームウェアを最初から再インストールしなければなりません。さらに、デバイスが処理していたすべてのパスワードと暗号鍵を変更する必要があります。最後に、管理者はディレクトリサービスのトラフィックをすべて暗号化されたプロトコルに移行すべきです。