米国サイバーセキュリティ・インフラセキュリティ庁(CISA)は、SonicWall SMA1000アプライアンスに影響する2件の脆弱性を既知の悪用された脆弱性(KEV)カタログに追加し、脅威アクターがこれらの欠陥を積極的に悪用していると警告しました。
CVE-2026-83548およびCVE-2026-83549として追跡されているこれらの問題は、攻撃者が機密性の高い機能にアクセスし、脆弱なシステム上でコマンドを実行することを可能にする恐れがあります。
CISAは2026年9月2日に両脆弱性をKEVカタログに追加し、連邦文民行政機関に対して2026年9月5日を修復期限として設定しました。この短い猶予期間は、公開されているSMA1000導入環境が緊急の対応を必要とするというCISAの評価を裏付けています。
CVE-2026-83548は、SonicWall SMA1000アプライアンスにおけるサーバーサイドリクエストフォージェリ(SSRF)の脆弱性です。認証を受けていないリモートの攻撃者がこの欠陥を悪用することで、機密性の高い内部機能にアクセスし、不正な操作を行える可能性があります。
この脆弱性は、SSRFの弱点を扱うCWE-918と、動作ワークフローの不適切な強制に関する問題であるCWE-441に関連付けられています。
SSRFの脆弱性は、インターネットに公開されているセキュリティアプライアンスにおいて特に危険です。攻撃者がアプライアンス自体からリクエストを発行できてしまう可能性があるためです。
これにより、外部システムが内部サービスや管理機能に到達することを通常であれば阻止するはずのネットワークベースのアクセス制御を、迂回されてしまう可能性があります。
各組織は、自社のSMA1000アプライアンスが一般に公開されているかどうかを確認するとともに、内部アドレスやローカル管理インターフェースに向けられた不審なリクエストがないか、アプリケーションログおよびネットワークログを確認する必要があります。
2つ目の問題であるCVE-2026-83549は、OSコマンドインジェクションの脆弱性で、CWE-78に関連付けられています。CISAによると、管理者としてリモートで認証を受けた攻撃者がこの欠陥を悪用することで、任意のオペレーティングシステムコマンドを実行できてしまい、影響を受けるSMA1000アプライアンス上でリモートコード実行が発生する可能性があるとしています。
CVE-2026-83549の悪用には管理者レベルの認証が必要ですが、防御側はこれを侵害後の高優先度リスクとして扱うべきです。管理者権限の認証情報を入手または再利用した攻撃者は、コマンド実行を利用してアプライアンスの設定を変更できる可能性があります。
CISAは、両脆弱性ともバインディング運用指令(BOD)26-04に基づくフォレンジックトリアージが必要であると述べています。
各機関およびその他の影響を受ける組織は、ベンダーのガイダンスに従ってSonicWallの緩和策を適用し、インターネットへの露出状況を評価し、リスクベースのパッチ適用およびフォレンジックトリアージの要件に従う必要があります。
緩和策が利用できない場合、CISAは影響を受ける製品の使用を中止するよう組織に勧告しています。KEVエントリでは、いずれの脆弱性についてもランサムウェアが既知の悪用事例として特定されておらず、両方とも現時点では「不明」と分類されています。
しかし、境界に位置するデバイスに対する能動的な悪用は依然として大きな懸念事項です。リモートアクセス用アプライアンスは、多くの場合、インターネットと企業ネットワークの境界に位置しているためです。
管理者は直ちに自社のすべてのSMA1000アプライアンスを特定し、その公開状況を確認したうえで、SonicWallが提供する修正プログラムや緩和策を適用し、公開された可能性のある管理者権限の認証情報をローテーションし、大規模な設定変更を行う前に関連ログを保全する必要があります。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。ANY.RUNで調査を強化
翻訳元: https://cyberpress.org/cisa-exploiting-sonicwall-sma1000-ssrf-rce-flaws/
