米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、実際の攻撃での悪用を確認したことを受け、SonicWall SMA1000の重大な脆弱性(CVE-2026-15409として追跡)を既知の悪用された脆弱性(KEV)カタログに追加しました。
この脆弱性は深刻度が最大となるサーバーサイドリクエストフォージェリ(SSRF)の不具合で、SonicWallのセキュアリモートアクセスアプライアンスに影響を及ぼす別の脆弱性と組み合わさる形でゼロデイとして武器化されていました。
CVE-2026-15409はCVSSスコア10.0を記録しており、SonicWall SMA1000アプライアンスのWorkplaceインターフェースに影響します。CWE-918に分類されるこの問題により、リモートの未認証攻撃者が脆弱なアプライアンスを操り、意図しない場所へのリクエストを強制的に発生させることが可能になります。
実際には、この脆弱性によってインターネットに面したVPNゲートウェイが、本来ローカルホストや信頼できる内部接続にのみ限定されるべきバックエンドサービスへ到達するためのプロキシに変えられてしまう可能性があります。
SonicWallは2026年7月14日、勧告SNWLID-2026-0008でこの問題を公表し、自社のProduct Security Incident Response Teamが複数の実際の悪用事例を調査したと警告しました。
CISAは同日、CVE-2026-15409と関連するCVE-2026-15410をKEVカタログに追加し、米連邦文民機関に対して7月17日までにこれらの脆弱性を修正するよう指示しました。CISAはその後、両脆弱性がランサムウェアキャンペーンで使用されていることが判明したとしています。
関連する脆弱性であるCVE-2026-15410はCVSS 7.2と評価されており、当初はSMA1000アプライアンス管理コンソールにおける認証後のコードインジェクションの問題として説明されていました。
脅威インテリジェンスの報告によると、攻撃者はこれら2つの脆弱性を連鎖させることが可能です。SSRFの弱点によってアプライアンス内部のサービスへのアクセスが容易になり、もう一方の脆弱性は権限昇格に利用され、root権限による制御を奪取できるとされています。
この組み合わせにより、未認証のインターネットアクセスからリモートアクセスアプライアンスの完全な侵害に至る、影響の大きい攻撃経路が生まれます。PSIRTの観測によると、公開前の悪用はSonicWallが修正版を公開する数週間前の6月22日という早い時期から始まっていました。
この一連の活動は、UTA0533として追跡されている脅威クラスターによるものとされ、KNUCKLEBALL、Suo5、ROOTRUN、そしてBehinderに類似したORANGETAIL Java Webシェルなどのツールが使用されていました。
その後の報告では、大規模な悪用活動がINCランサムウェアの犯行グループに関連付けられており、同グループはSMA1000の脆弱性連鎖を悪用する主要な攻撃者として台頭しています。
影響を受ける製品には、脆弱なリリースである12.4.3系および12.5.0系のファームウェアを稼働させているSonicWall SMA 6210、SMA 7210、SMA 8200vアプライアンスが含まれます。
SonicWallのファイアウォールSSL-VPN製品およびSMA 100シリーズは影響を受けません。回避策は存在しないため、組織はプラットフォームホットフィックスのバージョン12.4.3-03453以降、または12.5.0-02835以降にアップグレードする必要があります。
管理者は、これまでインターネットに公開されていて未修正だったSMA1000システムについては、侵害された可能性があるものとして扱う必要があります。SonicWallは、extraweb_access.logで/__api__/login、/__api__/logout、/wsproxyに関する異常なアクティビティを確認すること、ctrl-service.logで不審なホットフィックスのロールバックイベントを確認すること、/var/lib/unit/conf.jsonで不正なルートがないか確認することを推奨しています。
侵害の兆候が見つかった場合、防御担当者はハードウェアアプライアンスの再イメージ化または仮想インスタンスの再展開を行い、ユーザーおよび管理者の認証情報をローテーションし、TOTPトークンをリセットする必要があります。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの完全な可視化を実現し、SOCを強化してMTTRを削減しましょう
翻訳元: https://cyberpress.org/cisa-sonicwall-sma1000-ssrf-zero-day-attacks/
