ハッカーがSonicWallの新たなゼロデイ脆弱性2件を連鎖攻撃

SonicWallは、実際に悪用が確認されている新たなゼロデイ脆弱性2件について、顧客に通知しました。うち1件は最高深刻度のものです。

同社が9月1日に公開したセキュリティアドバイザリによると、これらの脆弱性はSMA1000アプライアンス、具体的には6210、7210、8200vの各モデルに影響を及ぼします。

影響を受けるバージョンは12.4.3-03453（プラットフォームホットフィックス）以前、および12.5.0-02835（プラットフォームホットフィックス）以前です。

SMA（Secure Mobile Access）アプライアンスは、リモートワーカーが企業ネットワークに安全に接続できるようにするためのゲートウェイデバイスです。

2件のゼロデイのうち、より深刻なのはCVE-2026-83548です。これはSMA1000アプライアンスのWork Placeインターフェースに存在する、認証前サーバーサイドリクエストフォージェリ（SSRF）の脆弱性です。

SonicWallはアドバイザリの中で、この脆弱性は「意図しない代替アクセス経路」に起因すると説明しています。「リモートの未認証攻撃者がこの脆弱性を悪用することで、機微な機能への不正アクセスを取得し、不正な操作を実行できる可能性があります」と同社は付け加えています。

この脆弱性のCVSSスコアは10.0です。

2件目のゼロデイはCVE-2026-83549で、SMA1000アプライアンス管理コンソールにおける認証後リモートコード実行(RCE)の脆弱性であり、CVSSスコアは7.8です。

この脆弱性は「OSコマンドで使用される特殊要素の不適切な無害化」を伴う認証後の問題と説明されており、「特定の条件下では、リモートの認証済み攻撃者が管理者権限で任意のOSコマンドを実行できる可能性があり、リモートコード実行につながる恐れがあります」としています。

SonicWall顧客向けの対処方法

SonicWallは、仮想版・物理版いずれのSMA1000アプライアンスを利用している顧客に対しても、対応を取るよう強く求めています。

同社によると、以下の対応が必要です。

最新のホットフィックスバージョンへのアップグレード
侵害の痕跡（IoC）の有無を確認するため、SonicWallテクニカルサポートへの問い合わせ
システム上でIoCが検出された場合: ハードウェアの再イメージ化またはアプライアンスの再展開、全ユーザーおよび管理者パスワードの変更、TOTPトークンのリセット

SonicWallのSMA1000アプライアンスは、エッジデバイスとして機密性の高い企業リソースへのリモートアクセスを提供することから、国家支援型攻撃者やランサムウェア攻撃者にとって格好の標的となっています。

セキュリティ機関はこれらのデバイスに対する脅威について、これまでも繰り返し警告を発してきました。2025年2月には、Five Eyes（ファイブ・アイズ）加盟機関がガイダンスを公表し、エッジデバイスメーカーに対して基本的なセキュリティ水準の向上を求めました。