SonicWallは火曜日、2つの製品にまたがる8件の脆弱性に対するパッチを発表しました。この中には深刻度が「Critical」のリモートコード実行(RCE)の欠陥も含まれています。
同社は、集中管理・監視・レポーティング用プラットフォームであるGlobal Management System(GMS)における6件のセキュリティ上の欠陥を修正しました。なお、GMSは2025年10月にサポートが終了しています。
SonicWallのアドバイザリによると、これらの欠陥のうち2件、すなわちCVE-2026-66147(CVSSスコア9.4)とCVE-2026-66145(CVSSスコア9.1)は特に注意が必要です。どちらもリモートの未認証攻撃者が任意のコードを実行できる可能性があるためです。
前者は、GMS Dispatcher Serviceにおけるコマンドインジェクションの問題で、細工されたリクエストを介して悪用され得ると説明されています。後者は、zipslipによる機密情報の漏えいと任意のファイル書き込みにつながるRCEの欠陥です。
これらの脆弱性はGMS(仮想アプライアンスおよびWindows版)のバージョン9.5.1以前に影響しますが、ソフトウェアのバージョン9.5.2で修正済みです。
今回のアップデートでは、不正な変更や不正な操作につながりかねない、証明書検証が不十分な問題およびシリアライズされたオブジェクトの安全でない取り扱いに関する、深刻度「High」の欠陥にも対応しています。
SonicWallは火曜日、Email Securityにおける深刻度「High」の2件のコードインジェクションの欠陥(CVE-2026-66149およびCVE-2026-66150)に対する修正プログラムも公開しました。これらはroot権限でのOSコマンド実行につながる可能性があります。
ES Appliance 5000、5050、7000、7050、9000、VMware版、Hyper-V版に影響するこれら2件の問題は、Email Securityのバージョン10.0.36で修正されています。
SonicWallによると、これらの脆弱性が実際に悪用された証拠は現時点で確認されていないとのことですが、同社はユーザーに対しできるだけ早くパッチを適用するよう呼びかけています。詳細情報はSonicWallのセキュリティアドバイザリページで確認できます。
