SonicWall SMA1000シリーズのセキュアアクセスアプライアンスに存在する深刻な脆弱性が、公開からわずか数日で実際に悪用されています。
Defusedは、SonicWallがアドバイザリ「SNWLID-2026-0017」を10月6日に公開した2日後の10月8日から、同社のSonicWall SMAデコイに対する認証不要のサーバサイドリクエストフォージェリ（SSRF）の通信を観測しました。
これとは別に、Previdianも同じ脆弱性に合致する悪用の試みを報告しています。これらの観測結果は、監視下のセンサーに対して悪用が試みられたことを示すものですが、本番環境のアプライアンスへの侵害が成功したことを裏付けるものではありません。
SonicWallのアドバイザリは、実環境での悪用の証拠は確認していないと説明していました。この脆弱性はSMA1000アプライアンスのWork Placeインターフェースに存在します。意図しない代替アクセス経路により、認証前の段階でフォワードプロキシ相当の動作が露出する状態になっています。
リモートの攻撃者は、アプライアンスに自身の代理でリクエストを発行させ、内部機能にアクセスし、不正な操作を実行できる可能性があります。
SonicWallはこの問題を、サーバサイドリクエストフォージェリを示すCWE-918と、意図しないプロキシ（いわゆる「confused deputy」）の弱点を示すCWE-441に分類しています。
このアドバイザリでは、認証要件の異なる3件の脆弱性も取り上げています。CVE-2026-102256（深刻度7.8）はOSコマンドインジェクションの脆弱性です。
特定の条件下では、認証済みの管理者が任意のOSコマンドを実行でき、リモートコード実行につながります。これは、認証不要のSSRFという入口とは別の問題です。
CVE-2026-102257（深刻度7.2）は、Appliance Management Consoleに存在するZip Slipの脆弱性です。細工されたアーカイブにより、本来の展開先ディレクトリの外にファイルが展開され、リモートコード実行に至る可能性があります。
CVE-2026-102258（深刻度5.5）は格納型クロスサイトスクリプティングの脆弱性で、認証済みの管理者が管理コンソール内に任意のJavaScriptを保存し、実行させられる可能性があります。
SonicWallは、SSRFとコマンドインジェクションの脆弱性を発見したのはAnthropicの研究者Benoît Sevens氏だとしています。
影響を受けるのは、プラットフォームホットフィックスのバージョン12.4.3-03526以前、または12.5.0-02952以前を実行しているSMA1000の6210、7210、8200vの各モデルです。
SonicWallによると、SMA 100製品ラインおよびSonicWallファイアウォール製品のSSL-VPN機能は影響を受けません。
管理者は、利用中のソフトウェアブランチに応じて、プラットフォームホットフィックスのバージョン12.4.3-03670以降、または12.5.0-03082以降へアップグレードする必要があります。
SonicWallは回避策を示しておらず、修正版のインストールを強く推奨しています。同社は最新のプラットフォームホットフィックスをMySonicWall経由で提供しており、物理アプライアンスと仮想アプライアンスのどちらの環境でも、直接対処できる手段が用意されています。
デコイへの攻撃通信が短期間で現れたことは、インターネットに公開されたアプライアンスへの早急なパッチ適用が必要であることを示しています。一方、現時点の報告は悪用の試みを示す証拠にとどまり、顧客環境での侵害が確認されたわけではありません。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/critical-sonicwall-sma-1000-vulnerability/
