米国サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)は、SonicWall SMA1000に存在する重大な脆弱性を「既知の悪用された脆弱性」カタログに追加し、この脆弱性がランサムウェアキャンペーンで使用されていると指摘しています。
Cybersecuritynewsletter subscription
CVE-2026-15409として追跡されているこの脆弱性は、SonicWall SMA1000アプライアンスのWorkplaceインターフェースに存在するサーバーサイドリクエストフォージェリ(SSRF)の問題です。
CVSSスコアは最大値の10.0となっています。認証なしでリモートから悪用可能で、攻撃者が意図しない内部または外部の場所にリクエストを送信できてしまいます。
CISAは2026年7月14日にこの脆弱性をカタログに追加し、修復期限を7月17日に設定しています。同庁は、バインディング運用指令(Binding Operational Directive)26-04に従ってベンダー提供の緩和策を適用し、インターネット上の露出状況を評価するとともに、該当するフォレンジック・トリアージ要件があればそれに従うよう組織に助言しています。
緩和策が利用できない場合、組織は該当製品の使用を中止すべきとしています。
重大なSSRFおよびコードインジェクションの脆弱性
SonicWallのアドバイザリSNWLID-2026-0008は、CVE-2026-15409に加えて、SMA1000アプライアンス管理コンソール(AMC)における認証後コードインジェクションの脆弱性であるCVE-2026-15410についても取り上げています。
CVE-2026-15410のCVSSスコアは7.2で、特定の条件下では認証済みの管理者が任意のオペレーティングシステムコマンドを実行できてしまう可能性があります。この問題はCWE-94に分類されており、コード生成の不適切な制御に関連するものです。
2つ目の脆弱性は管理者認証を必要としますが、これらの問題が組み合わさることで攻撃者にとって重大な意味を持ちます。
認証不要のSSRF脆弱性は内部サービスの探索やアクセスの足がかりとなり得る一方、コマンド実行の脆弱性は、いったん管理者権限でのアクセスが達成されると、持続的な足場の確保、ペイロードの配置、認証情報の窃取、そしてランサムウェアの展開を容易にする可能性があります。
SonicWallによると、同社の製品セキュリティインシデント対応チームは、これらの脆弱性が実際に悪用された複数のインシデントを調査したとのことです。同社は顧客に対し、利用可能なプラットフォームのホットフィックスを直ちに適用するよう呼びかけています。
影響を受けるバージョンと検知方法
影響を受けるSMA1000モデルには、12.4.3系および12.5.0系の特定リリースを実行している6210、7210、8200v各アプライアンスが含まれます。この問題は、プラットフォームホットフィックスバージョン12.4.3-03453以降、または12.5.0-02835以降で修正されています。
これらの脆弱性は、SonicWallファイアウォール上で動作するSSL-VPN機能や、SonicWallのSMA 100シリーズ製品ラインには影響しない点に注意が必要です。
管理者は、アプライアンスのログおよび設定ファイル内に侵害の痕跡がないか調査することが推奨されています。
SonicWallは特に、extraweb_access.log内の/__api__/loginまたは/__api__/logoutへのHTTP 200の成功リクエストに注目するよう指摘しています。これらのルートは正規の設定には含まれないためです。防御側はまた、疑わしいホストパラメータを含みHTTP 101レスポンスを返す/wsproxyリクエストについても調査すべきとしています。
その他の痕跡としては、ctrl-service.log内でパストラバーサル形式の名前が付いたホットフィックスのロールバックイベントや、/var/lib/unit/conf.json内での/__api__/loginまたは/__api__/logoutルートへの不正アクセスが挙げられます。
侵害の痕跡を確認した組織は、そのアプライアンスが完全に侵害された可能性があるものとして扱うべきです。SonicWallは、ハードウェアアプライアンスの再イメージ化または仮想アプライアンスの再デプロイ、全ユーザーおよび管理者パスワードの変更、TOTPトークンのリセットのいずれかを実施するよう推奨しています。
ランサムウェアによる悪用が確認されていることを踏まえると、修復前に露出していたシステムについては、パッチ適用だけでは不十分な場合があります。セキュリティチームは、対象のSMA1000アプライアンスを本番環境に復帰させる前に、ログを保全し、認証活動を精査し、送信接続や設定変更を調査した上で、インシデント対応の全面的な評価を実施すべきです。
Antivirus& Malware
Stop new phishing & malware before they compromise your business. Integrate live intel from 15K SOCs around the world
翻訳元: https://gbhackers.com/cisa-warns-sonicwall-sma1000-flaws/
