SonicWallは、SonicOS SSLVPNにおける認証強制の不備により、攻撃者がSAML認証と、それに関連する多要素認証（MFA）による保護を回避できるおそれがあると警告しました。
この問題は「CVE-2026-19868」として追跡されており、SSLVPNのログインでSAMLを有効にしている環境が影響を受けます。SonicWall PSIRTは悪用の可能性に関する報告を調査しましたが、アドバイザリでは攻撃キャンペーンの存在は確認されておらず、攻撃者の特定や侵害指標（IoC）の公開もありません。
11月6日に公開されたアドバイザリ「SNWLID-2026-0014」は、このバイパスにCVSSスコア7.1を付与し、CWE-308（単一要素認証の使用）に分類しています。
悪用には、代替の認証方式で使える有効な認証情報が必要です。そのため、認証なしで侵入される脆弱性とは性質が異なります。
代替の認証経路がSAMLによる制御を満たさないままアクセスを許してしまうと、セキュリティの境界が機能しなくなります。その結果、代替方式で受け付けられる認証情報を持つ攻撃者は、SAML経由で強制されるMFAを回避できる可能性があります。
アドバイザリによると、攻撃の複雑さは高く、必要な権限は低く、ユーザーの操作は不要で、スコープは変更ありと評価されています。
過去にはAkiraランサムウェアに関連したSonicWallの認証情報の悪用が確認されており、VPNアクセスが運用上いかに重要かを物語っています。ただしSonicWallは、今回公表された問題をそのキャンペーンと結び付けてはいません。
アドバイザリには、ID認証の強制にとどまらず、ほかに6件の脆弱性が含まれています。CVE-2026-107155は許容的なクロスドメインポリシーに関するもので、CVE-2026-107154は認証にIPアドレスを用いたセッション検証に依存する問題です。
いずれも管理インターフェースに影響し、CVSSスコアは8.8です。特定の条件下で、不正な操作を許す可能性があります。
これらの問題は、SAMLバイパスや、以前に報告されたSonicOSのアクセス制御の不具合とは別のものです。管理者は、悪用の前提条件や影響を受けるインターフェースが同じだと考えるべきではありません。
CVE-2026-82308は、SSLVPNにおける認証前のヒープベースのバッファオーバーフローで、深刻度は7.5です。アプリケーションレベルのサービス拒否（DoS）を引き起こす可能性があります。
TACACS+認証クライアントの2件の欠陥、CVE-2026-77708とCVE-2026-77709は、それぞれスタックベースとヒープベースのバッファオーバーフローで、深刻度はいずれも5.9です。
公表されている影響は、こちらもアプリケーションレベルのDoSにとどまり、コード実行は確認されていません。このほかCVE-2026-19703は、仮想アプライアンスにおける脆弱なパスワードハッシュとハードコードされた認証情報の問題が組み合わさったものです。すでにローカルアクセスと高い権限を持つ攻撃者に対し、プラットフォームの認証情報が露出するおそれがあります。
影響を受けるのは、SonicOS 7.3.3-7015以前を実行するGen7ハードウェアファイアウォールおよびNSvアプライアンスと、8.2.2-8015以前を実行する対応のGen8システムです。SonicWallは、修正版としてGen7向けにSonicOS 7.3.4-7013以降、Gen8向けに8.2.3-8015以降を挙げています。
管理者はファームウェアの適用を優先し、SSLVPNでSAMLを使用しているかどうかを確認するとともに、リスクを評価する際には代替の認証経路も調べる必要があります。
影響を受ける製品には、物理のTZ、NSa、NSspファイアウォールのほか、対応するハイパーバイザーやクラウド環境で動作する仮想のNSvが含まれます。アドバイザリは、CVE-2026-19868を報告したのはThe Electronic OfficeのRyan Harris氏だとしています。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/hackers-exploit-sonicwall-sonicos-vulnerability/
