攻撃者がSonicWall SMA 1000アプライアンスに存在する未公表の脆弱性2件(CVE-2026-83548、CVE-2026-83549)を悪用していることが、SonicWallが火曜日に確認したことで明らかになりました。
脆弱性の詳細(CVE-2026-83548、CVE-2026-83549)
SonicWall SMA 1000シリーズは、大規模環境向けに構築されたセキュアリモートアクセスアプライアンス(SSL VPNゲートウェイ)の製品ラインです。中堅から大企業、政府機関、マネージドセキュリティサービスプロバイダーで広く利用されています。
CVE-2026-83548は、Appliance Work Placeインターフェースに存在する認証前のサーバーサイドリクエストフォージェリ(SSRF)の脆弱性です。認証を受けていないリモートの攻撃者が「機密性の高い機能に不正アクセスし、不正な操作を実行できる」可能性があります。
CVE-2026-83549は、Appliance Management Consoleに存在するOSコマンドインジェクションの脆弱性です。特定の条件下で、管理者権限を持つ認証済みの攻撃者に悪用されると、パッチが未適用のアプライアンス上でリモートコード実行を許してしまう可能性があります。
これらの脆弱性は、物理・仮想の両モデル(6210、7210、8200v)のSMA 1000シリーズに影響します。
一方、SMA 100アプライアンスやSonicWallのファイアウォール製品には影響しません。
脆弱性の発見者としてSonicWallのWilliam Perry氏とAdam Babis氏がクレジットされています。
取るべき対応は
SonicWallは「[Product Security Incident Response Team]が調査を行った結果、これらの脆弱性が実際に悪用されている事例を確認しました」と述べ、顧客に対して提供済みのホットフィックスを可能な限り速やかに適用するよう「強く要請」しています。
また、システムに侵害の兆候がないか確認するため、SonicWallテクニカルサポートに連絡して支援を受けるよう助言しています。
侵害が確認された場合、顧客はアプライアンスの再イメージ化(ハードウェアの場合)または再デプロイ(仮想環境の場合)を行い、すべてのユーザーおよび管理者のパスワードを変更し、時間ベースのワンタイムパスワード(TOTP)トークンをリセットする必要があります。
繰り返し標的にされるSonicWall SMA 1000
SonicWallは、既知の侵害指標(IoC)の一覧や今回の攻撃に関するさらなる詳細を公表していません。
SonicWall SMA 1000アプライアンスは、ゼロデイ脆弱性を通じて攻撃者にたびたび標的にされており、今回の一連の攻撃の直前にも2026年6月から7月にかけて、また2025年終盤にも同様の攻撃が確認されています。
