SonicWallは2026年4月29日に緊急セキュリティアドバイザリ（SNWLID-2026-0004）をリリースし、Gen6、Gen7、Gen8ファイアウォール製品ラインの全体に電力を供給するSonicオペレーティングシステムに影響する3つの脆弱性を開示しました。
CVE-2026-0204、CVE-2026-0205、CVE-2026-0206として追跡されるこれらの欠陥は、組織を不正アクセス、パストラバーサル攻撃、ファイアウォールのサービス拒否条件に集合的に暴露します。
脆弱性はCrowdStrikeの高度な研究チームによって発見され、責任を持って開示されました。
このアドバイザリで最も重大な欠陥であるCVE-2026-0204は、CVSS v3スコア8.0（高）を持ち、CWE-1390（弱い認証）に分類されます。
この脆弱性は、特定の条件下で特定の管理インターフェース機能が適切な認証の強制なしでアクセス可能なままになる可能性があるSonicOSのアクセス制御メカニズムの欠陥に由来しています。
事前の権限を持たない隣接ネットワークアタッカーは、この欠陥を悪用して、ターゲットシステムの機密性、整合性、可用性への高い影響のアクセスを得る可能性があります。
2番目の脆弱性、CVE-2026-0205は、CVSSスコア6.8を持つ認証後のパストラバーサル脆弱性（CWE-35）です。
このクラスの脆弱性は、ネットワークインフラストラクチャ内でのより深い横展開の足がかりとしてしばしば活用されます。CVE-2026-0206は、CVSSスコア4.9を持つ認証後のスタックベースのバッファオーバーフロー（CWE-121）について説明しています。
高い権限の認証情報を持つリモートアタッカーは、SSL-VPNコンポーネントなどの認証後サービスに特別に作成されたパケットを送信できます。パケットは固定サイズのスタックバッファをオーバーフローさせ、即座のファイアウォールクラッシュと完全なサービス拒否条件を引き起こします。
SonicWallを主要なネットワーク周辺制御として依存している組織にとって、このファイアウォール障害はビジネス継続性に深刻な連鎖的な影響を与える可能性があります。
脆弱性は、SonicWallの現在の3つのファイアウォール世代すべてに及びます：
SonicWallは、影響を受けたすべての世代にわたって固定ファームウェアをリリースしました：
セキュリティチームは、これらの更新をすぐに適用し、Gen6デバイスをアップグレードする前に完全な構成バックアップを作成し、SonicWall展開全体で管理インターフェースの露出を監査することを強くお勧めします。
翻訳元: https://cyberpress.org/sonicwall-sonicos-access-controls-crash-firewall/
