security
攻撃者はゼロデイ脆弱性を連鎖させて機器を乗っ取っており、サードパーティのSOCは今後もさらなる攻撃が「ほぼ確実」と警告しています
SonicWallによると、攻撃者は2件のゼロデイ脆弱性を連鎖的に悪用し、Secure Mobile Access（SMA）Series 1000機器を乗っ取る攻撃を積極的に行っているとのことです。
中堅から大企業向けのSMA1000ゲートウェイは、リモートアクセスとVPN接続を保護する役割を担っています。そのため、この機器が侵害されると、攻撃者に企業ネットワークへの貴重な侵入経路を与えてしまうことになります。
SonicWallは、回避策は存在しないとして、速やかにホットフィックスを適用するよう呼びかけています。
1つ目のゼロデイ脆弱性CVE-2026-83548は、認証前のサーバーサイドリクエストフォージェリ(SSRF)の脆弱性で、CVSS v3スコアは最大値の10.0となっています。SonicWallは、この脆弱性の原因を意図しない代替アクセス経路によるものとしています。
同社は「リモートの未認証攻撃者がこの脆弱性を悪用し、機密性の高い機能への不正アクセスを行い、不正な操作を実行する可能性があります」と説明しています。
2つ目のCVE-2026-83549は、SMA1000のアプライアンス管理コンソール(AMC)における認証後のOSコマンドインジェクションの脆弱性で、CVSS v3で7.8と評価されています。特定の条件下では、管理者として認証された攻撃者がアプライアンス上で任意のコマンドを実行できる可能性があります。
これらの脆弱性はSMA 6210、7210、8200vの各アプライアンスに影響しており、SonicWallはすでにホットフィックスを公開済みです。
SonicWallは、侵害の痕跡(IoC)の特定について、テクニカルサポートチームに問い合わせるよう顧客に呼びかけています。
アプライアンスが侵害された形跡がある場合、SonicWallは再イメージングまたは再デプロイを行い、すべてのパスワードを変更した上で、TOTPトークンをリセットすることを推奨しています。
独自の注意喚起を公開したNHS England(英国民保健サービス)は、インターネットに面したゲートウェイに対する攻撃リスクの高まりについて警告しています。
同組織は「ファイアウォールなどのエッジデバイスは、その性質上インターネットに公開されており、攻撃者にとって非常に魅力的な標的となっています。しかも、エッジデバイスの脆弱性が開示される件数は年々増加しており、攻撃者によって迅速に悪用される傾向にあります」と述べています。
「NHS England National CSOCは、これらの脆弱性が今後悪用される可能性を『ほぼ確実』と評価しています」としています。
今回の開示は、2025年から続くSonicWallとそのSMA1000製品ラインにとって厳しい状況が、依然として続いていることを示すものです。
7月には、同社が不気味なほどよく似た2件の脆弱性を公開しています。この時も、今回同様に認証前のSSRF脆弱性(こちらはSMA1000のアプライアンスWorkPlaceインターフェースが対象)と、AMCにおける認証後のOSコマンドインジェクションの脆弱性という組み合わせでした。SSRFの脆弱性はCVSS v3で最大値の10.0、コマンドインジェクションの脆弱性は7点台の評価を受けています。
その後CISAはCVE-2026-15409を既知の悪用された脆弱性(KEV)カタログに追加し、ランサムウェアキャンペーンでの悪用が確認されているとしています。
2025年を通じて、SonicWallはOSコマンドインジェクションや権限昇格など、SMA1000に関する脆弱性を次々とパッチで修正してきました。その一方で、ランサムウェア攻撃に関連するゼロデイ脆弱性の調査も行っています。 ®
