CISAは、最近パッチが提供されたSonicWall SMA1000の2件の脆弱性(最大深刻度のサーバサイドリクエストフォージェリ(SSRF)の欠陥を含む)を、ランサムウェア集団が悪用し始めていることを確認しました。
SMA1000は、大企業や政府機関、マネージドサービスプロバイダー(MSSP)が社内アプリケーションや企業ネットワークへのVPNアクセスを提供するために使用する、エンタープライズ向けのセキュアリモートアクセスゲートウェイです。
SonicWallは7月中旬、2件のセキュリティ脆弱性(CVE-2026-15409およびCVE-2026-15410として追跡)に対するパッチをリリースしました。同時に、脅威アクターがこれらをゼロデイ攻撃で悪用していたことも警告していました。
「SonicWall PSIRTは、本アドバイザリで説明されている脆弱性が実際に悪用されていることを示す複数の事例を調査しました」と、同社は当時こう警告しています。「お客様には、これらの脆弱性を修正するため、できるだけ早くホットフィックスリリースへのアップグレードを強く推奨します」
インシデント対応会社のVolexityは後に、UTA0533として追跡されている脅威アクターが、SonicWallがこれらの脆弱性を公表する数週間前の6月22日という早い時期からこれらを悪用し、脆弱なVPNアプライアンス上にKNUCKLEBALL、Sou5、ROOTRUN、ORANGETAILとして知られるカスタムマルウェアを展開していたことを明らかにしました。
インターネットセキュリティ監視団体のShadowserverは現在、オンラインに露出している380台超のSMA1000アプライアンスを追跡していますが、これらの一部はすでに攻撃対策が施されている可能性もあります。
米国サイバーセキュリティ・インフラセキュリティ庁(CISA)は7月14日、この2件の脆弱性を既知悪用脆弱性(KEV)カタログに追加し、連邦文民行政機関(FCEB)に対して3日以内にシステムへパッチを適用するよう命じました。
「この種の脆弱性は悪意あるサイバー攻撃者にとって頻繁に利用される攻撃経路であり、連邦政府機関全体に重大なリスクをもたらします」と同サイバーセキュリティ機関は述べています。
SonicWallは当初のアドバイザリを更新し、CVE-2026-15409とCVE-2026-15410がランサムウェア攻撃で標的にされていることをまだ確認していませんが、CISAは最近のKEVカタログの更新で、これら2件の脆弱性をランサムウェア集団による悪用としてすでにフラグを立てています。
12月には同社が、SonicWall SMA1000アプライアンス管理コンソール(AMC)の別の脆弱性(CVE-2025-40602)について顧客にパッチ適用を警告していました。この脆弱性は、ハッカーがルート権限を取得するためにゼロデイ攻撃で連鎖的に悪用していたものです。
その1か月前には、SonicWallは盗まれた認証情報を使って100件超のSonicWall SSLVPNアカウントが侵害されたと研究者らが警告した後に発生した、顧客のファイアウォール設定バックアップファイルが流出した9月のセキュリティ侵害について、国家支援を受けたハッカーとの関連を指摘しました。
また9月には、SMA 100シリーズデバイスを標的とした攻撃で展開されたOVERSTEPルートキットマルウェアを除去するためのファームウェア更新もプッシュ配信していました。
攻撃者に先んじて、あらゆる防御層をテストする
セキュリティチームが記録している攻撃成功のうち、ログを取得できているのは54%、アラートを出せているのはわずか14%にすぎません。残りは検知されないまま環境内を移動しています。
Picusのホワイトペーパーでは、侵害・攻撃シミュレーションによってSIEMやEDRのルールをテストし、脅威が検知をすり抜けるのを防ぐ方法を解説しています。
