SonicWall SMA 1000シリーズでCVSS 10.0の深刻なゼロデイ脆弱性が発見される
TL;DR
SonicWall SMA 1000シリーズでCVSS 10.0の深刻なゼロデイ脆弱性が発見される
SonicWall SMA 1000シリーズのアプライアンスを使用している場合は、直ちに作業を中断し、ファームウェアを確認してください。セキュリティ研究者とSonicWallは、企業ネットワークに甚大な被害をもたらす2つの深刻なゼロデイ脆弱性が発見され、攻撃者が実際に悪用していることを確認しました。これはCVSSスコアで満点の10.0を記録する脆弱性チェーンであり、攻撃者が認証を回避し、root権限でコマンドを実行できる「やりたい放題」の状態を許してしまいます。
これらの脆弱性はCVE-2026-15409およびCVE-2026-15410として登録されており、単なる理論上の脅威ではありません。SonicWallが2026年7月14日に緊急パッチを公開するまでの少なくとも22日間、攻撃者によって悪用されていました。Rapid7 MDRチームは、INCランサムウェアグループがこの脆弱性チェーンを使用して企業環境に侵入していることを突き止めました。
技術的詳細：脆弱性チェーンの仕組み
最大の問題はCVE-2026-15409です。これはサーバーサイドリクエストフォージェリ（SSRF）であり、認証されていない攻撃者が、本来はlocalhostインターフェース上で保護されているはずのサービスに対して直接リクエストを送信することを可能にします。本質的に、アプライアンスを騙して、本来は公開インターネットからアクセスできないはずの内部コンポーネントと通信させるものです。
しかし、これは物語の半分に過ぎません。CVE-2026-15410と組み合わせることで、事態は壊滅的な状況へと悪化します。後者の脆弱性は、技術的にはアプライアンス管理コンソール（AMC）におけるローカル権限昇格および認証後のコードインジェクションのバグですが、これが最後の鍵となります。攻撃者は最初のSSRFで足がかりを得た後、2つ目の脆弱性を使用して権限を昇格させ、アプライアンスに対する完全なroot権限を獲得します。
画像提供：The Hacker News
脆弱性の内訳は以下の通りです：
| 脆弱性 | タイプ | CVSSスコア | 影響 |
|---|---|---|---|
| CVE-2026-15409 | SSRF | 10.0 | localhostサービスへの未認証アクセス |
| CVE-2026-15410 | コードインジェクション / LPE | 7.2 | root権限でのコマンド実行 |
誰がリスクにさらされているか？
すべてのSonicWallデバイスが標的というわけではありません。この問題はSMA 1000シリーズに限定されています。標準的なファイアウォールやSMA 100シリーズを使用している場合、これらの特定の脆弱性については問題ありません。しかし、以下の製品を使用している場合は、直ちにSonicWall PSIRTアドバイザリでファームウェアのバージョンを確認する必要があります：
- SMA 6210
- SMA 7210
- SMA 8200v
この悪用は、より広範で攻撃的なキャンペーンの一環です。これらの脆弱性は認証をバイパスするため、非常に検知が困難です。標準的なログにはほとんど痕跡を残さないことが多く、事後のフォレンジック調査を困難にします。CISA（米サイバーセキュリティ・インフラストラクチャセキュリティ庁）も「悪用が確認された脆弱性（KEV）」カタログにこれらを追加しており、事態の深刻さを物語っています。
緩和策：今すぐすべきこと
解決策はシンプルですが、緊急を要します。それはパッチの適用です。SonicWallは2026年7月14日に必要なアップデートをリリースしました。まだ適用していない場合、INCのようなグループに侵入の扉を大きく開いている状態です。
「アップデート」ボタンを押すだけでなく、セキュリティチームは調査を行う必要があります。SMA 1000シリーズのログを精査し、特に攻撃が活発だった22日間の期間中に少しでも不審な点がないか確認してください。localhostサービスへの予期しない接続や、アプライアンス管理コンソールへの不正な変更がないか注意を払ってください。
The Hacker Newsの報道にあるように、リモートアクセスアプライアンスは脅威アクターにとっての「宝の山」です。これらはインターネットと内部ネットワークの架け橋となるよう設計されているため、格好の標的となります。
被害を防ぐために、以下の手順を実行してください：
- ファームウェアの更新： 直ちに最新バージョンへアップデートしてください。例外はありません。
- アクセスの制限： アプライアンス管理コンソールを公開したままにしないでください。信頼できる内部IPアドレスからのみアクセスできるように制限してください。
- MFAの強制： 管理者かユーザーかを問わず、すべてのセッションで多要素認証（MFA）を使用していない場合は、セキュリティ対策が遅れています。
- ネットワークのセグメンテーション： 万が一アプライアンスが侵害された場合に備え、攻撃者がネットワーク全体に自由にアクセスできないようにしてください。ネットワークセグメンテーションは最後の防衛線です。
今回のインシデントは、エッジに配置されたインフラストラクチャがいかに高いリスクを伴うかを改めて思い知らせるものです。INCランサムウェアグループはパッチ未適用のシステムを積極的に探しており、対策の猶予はほとんどありません。公式のSonicWall PSIRTアドバイザリで必要なビルド番号を確認し、今日中にシステムをアップデートしてください。攻撃を受けてからログで確認するような事態は避けなければなりません。
