米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、SonicWall SSLVPNの認証バイパス脆弱性を「既知の悪用された脆弱性（KEV）カタログ」に追加しました。この脆弱性は、多要素認証（MFA）を含むSAML認証の制御を回避できる欠陥で、実際に攻撃で悪用されたことをCISAが確認しています。
この脆弱性は「CVE-2026-19868」として追跡されており、SonicWallのファイアウォール用ソフトウェア「SonicOS」に影響します。
CISAは11月6日にこの脆弱性をKEVカタログに追加しました。連邦文民機関に対しては、影響を受けるシステムを11月20日までに修正するよう求めています。
SAMLベースのMFAでリモートアクセスを保護している組織にとって、この欠陥はとりわけ深刻です。別の認証方式の有効な認証情報を持つ攻撃者が、こうした追加の保護を回避できる可能性があるためです。
CVE-2026-19868がSonicWallの認証を回避する仕組み
SonicWallのセキュリティアドバイザリによると、CVE-2026-19868はSonicOSのSSLVPNサービスにおける認証強制の脆弱性です。
悪用に成功すると、別の認証方式の有効な認証情報を持つ人物が、SAML認証の制御とSAMLで強制されるMFAを回避できる可能性があります。
ただし、認証されていない攻撃者が、影響を受けるファイアウォールに自動的にアクセスできるわけではありません。攻撃には別の認証方式の有効な認証情報が必要で、SAML認証の設定が露出の中心となります。
この点で、CVE-2026-19868はセッションハイジャックや未認証のリモートアクセスを伴う脆弱性とは異なります。
2025年11月に公開されたSonicOS SSLVPNの脆弱性とも性質が異なります。こちらは、認証されていない攻撃者が影響を受けるファイアウォールをクラッシュさせることができるものでした。
SonicWallはアドバイザリ「SNWLID-2026-0014」で、CVE-2026-19868を他の6件の脆弱性とあわせて修正しました。今回の更新には、管理インターフェースの弱点やサービス拒否（DoS）の脆弱性に対する修正も含まれます。
CISAは悪用を確認していますが、公開されている情報からは、誰が標的になったのか、攻撃者がどのように必要な認証情報を入手したのか、この脆弱性がより大規模な攻撃キャンペーンで使われたのかどうかは明らかになっていません。
影響を受けるSonicOSのバージョンと必要な更新
SonicWallは、影響を受けるファームウェアのバージョンを次のとおり示しています。
- 第7世代（Gen 7）ファイアウォール：SonicOS 7.3.3-7015以前
- 第8世代（Gen 8）ファイアウォール：SonicOS 8.2.2-8015以前
修正版は、サポート対象のGen 7プラットフォームではSonicOS 7.3.4-7013以降、Gen 8プラットフォームではSonicOS 8.2.3-8015です。
管理者は、アップグレード前に使用しているアプライアンスの正確なモデルを確認する必要があります。SonicWallのGen 7初期リリースノートによると、SonicOS 7.3.4は仮想ファイアウォールのNSv向けにはまだ提供されていませんでした。プラットフォームごとの提供状況には注意が必要です。
SonicWallは、影響を受ける世代、サポート対象のリリース、旧型アプライアンスの扱いをまとめたファームウェアのアップグレードガイダンスを公開しています。
Gen 6以前のファイアウォールはサポートが終了しており、今回のファームウェア更新は提供されません。これらの機器をなお運用している組織は、サポート対象の後継ハードウェアへの移行を検討すべきです。
管理者が今すぐ行うべき対応
セキュリティチームは、次の対応を優先して進めてください。
- 影響を受けるアプライアンスの特定：SonicWallのファイアウォールを棚卸しし、ファームウェアのバージョンを記録したうえで、SSLVPNとSAML認証が有効かどうかを確認します。
- 適切なファームウェアの適用：CVE-2026-19868への対処だけにとどめず、影響を受ける各プラットフォームでサポートされている最新のセキュリティリリースを適用します。
- 認証アクティビティの確認：不審なSSLVPNログイン、想定外の認証方式、見覚えのない接続元アドレス、疑わしい設定変更を調査します。
- 認証情報の漏えい状況の評価：侵害された可能性のあるアカウントを確認し、調査でリスクが判明した場合は認証情報を更新します。
- フォレンジック証拠の保全：調査に影響しうる変更を加える前に、関連する認証ログと設定記録を保存します。
SonicWallが2025年9月に認証情報のリセットを推奨するきっかけとなった過去のファイアウォールのバックアップファイル流出を踏まえると、認証情報の確認はとりわけ重要です。ただし、このインシデントとCVE-2026-19868との関連を示す公的な証拠はありません。
CISAがKEVに指定したことは、CVE-2026-19868が理論上の脆弱性にとどまらず、実際の攻撃で悪用されたことを示しています。
拘束力のある運用指令（BOD）26-04に基づき、対象となる連邦文民機関は、該当する修正およびフォレンジックトリアージの要件に11月20日までに従わなければなりません。
民間組織は同じ連邦の期限の対象ではありませんが、影響を受ける構成で運用していれば、同じ脆弱性にさらされます。
パッチを適用すれば、確認されている認証バイパスは塞がります。ただし、攻撃者が過去に環境へアクセスしたかどうかまでは判断できません。
そのため、組織はファームウェアの更新と侵害の有無の評価を別々の作業として扱うべきです。特に、公開されたVPNサービスから機密性の高い社内システムにアクセスできる環境では重要です。
関連記事：SonicWallの過去のSMA1000のゼロデイ脆弱性は、別のリモートアクセス製品と異なる攻撃手法に関するもので、悪用された2件の欠陥を連鎖させるとリモートコード実行が可能でした。
