SonicWallが2026年7月14日、Secure Mobile Access(SMA)1000シリーズのアプライアンスに影響する2件のゼロデイ脆弱性を公表しました。1件目は認証不要のサーバサイドリクエストフォージェリ(SSRF)であるCVE-2026-15409(CVSS 10.0)で、もう1件は管理者としての認証を前提とするコードインジェクションCVE-2026-15410(CVSS 7.2)です。SonicWall PSIRTのAdam Babis氏が発見・報告し、SonicWallは複数の事例を調査し、両脆弱性が実際に悪用されていることを確認したと公表しました。修正はホットフィックス12.4.3-03453および12.5.0-02835以降で提供されます。
米CISAは公表当日の7月14日、両CVEをKnown Exploited Vulnerabilities(KEV)カタログへ追加しました。CISAはBOD 26-04(Prioritizing Security Updates Based on Risk)に基づき、米連邦民間行政機関(FCEB)に対して2026年7月17日までにベンダーの指示に従った対応を行い、対応できない場合は製品の使用を中止するよう求めています。SonicWallは回避策を提示していないため、対象環境では修正版への更新が必要です。SMA 1000シリーズは中規模から大規模の企業や政府機関のリモートアクセス基盤として利用されるほか、MSSPによる顧客環境の提供・管理にも利用されるSSL-VPNゲートウェイであり、境界に置かれるリモートアクセス機器のゼロデイという性質から、運用組織でも緊急対応が必要な事案です。
| 項目 | 内容 |
|---|---|
| 発見・報告 | SonicWall PSIRT / Adam Babis氏(追加IoC特定にVolexityのSean Koessel氏とSteven Adair氏が協力) |
| アドバイザリID | SNWLID-2026-0008(2026年7月14日公開、同日更新) |
| CVE識別子 | CVE-2026-15409(SSRF、CVSS 10.0 / Critical、認証不要)/ CVE-2026-15410(コードインジェクション、CVSS 7.2 / High、管理者認証必要) |
| 影響対象 | SMA 1000シリーズ(6210、7210、8200vおよびCMS全ハイパーバイザー) |
| 影響を受けるバージョン | 12.4.3-03245 / 12.4.3-03387 / 12.4.3-03434 / 12.5.0-02283 / 12.5.0-02624 / 12.5.0-02800 |
| 修正版 | 12.4.3-03453以降 / 12.5.0-02835以降(MySonicWall経由で配布) |
| 影響を受けない製品 | SonicWallファイアウォール上のSSL-VPN / SMA 100シリーズ |
| 実悪用状況 | SonicWallが公式に実悪用を確認、複数事例を調査済み |
| CISA KEV追加 | 2026年7月14日(FCEB期限:2026年7月17日、BOD 26-04) |
| 回避策 | ホットフィックス適用以外の回避策・軽減策は提示なし |
CVE-2026-15409:未認証のSSRF(Appliance Work Placeインターフェース)
1件目のCVE-2026-15409は、SMA1000のAppliance Work Placeインターフェースに存在するサーバサイドリクエストフォージェリ(SSRF)です。SonicWallアドバイザリの記述は「A remote unauthenticated attacker could potentially cause the appliance to make requests to unintended location」で、未認証のリモート攻撃者がアプライアンスを踏み台として意図しない宛先へのリクエストを送信させられる、という内容です。CWEはCWE-918(Server-Side Request Forgery)に該当します。CVSSは10.0(Critical)で、認証不要でネットワーク経由から攻撃できることに加え、スコープ変更と機密性・完全性・可用性への高い影響が評価されています。
Work Placeインターフェースは、エンドユーザがブラウザから接続する外向きのポータル面に相当します。SMA 1000シリーズは設計上インターネットへ露出することが前提のリモートアクセス機器であるため、この外向きインターフェースに認証不要のSSRFが存在する影響は大きいといえます。一般にSSRFは、外部から直接到達できないサービスへの間接アクセスや、内部リソースの探索に利用される可能性があります。ただし、SonicWallは今回の脆弱性で到達可能な宛先や、実際の攻撃で送信されたリクエストの詳細を公表していません。
CVE-2026-15410:管理者認証後の任意OSコマンド実行(AMC)
2件目のCVE-2026-15410は、SMA1000のAppliance Management Console(AMC)における認証後のコードインジェクションです。SonicWallアドバイザリは「Post-authentication improper control of generation of code(‘Code Injection’)vulnerability has been identified in the SMA1000 Appliance Management Console(AMC)which in specific conditions could potentially enable a remote authenticated attacker as administrator to execute arbitrary OS commands」と記述しており、管理者として認証されたリモート攻撃者が、特定の条件下でアプライアンスOS上の任意コマンドを実行できる可能性がある、という内容です。CVSSは7.2(High)、CWEはCWE-94(Improper Control of Generation of Code)で、管理者権限が必要である分だけCVE-2026-15409よりスコアは低くなっています。CVSSベクトル(AV:N)は攻撃元がネットワーク経由であることを示しますが、実際に悪用するには管理者アカウントでの認証と、AMCへの到達経路の両方が別途必要です。
AMCはSMA 1000の管理インターフェースであり、運用上は信頼できる管理ネットワークや管理端末からのみアクセスできるよう制限すべき領域です。CVE-2026-15410単独のCVSSベーススコアは7.2で、悪用には管理者としての認証とAMCへのネットワーク到達性が必要です。
侵害の痕跡(IoC)と検出のヒント
SonicWallは公式アドバイザリで、以下のIoCを提示しています。運用中のSMA 1000シリーズについては、ホットフィックス適用の前後にかかわらずログを精査することが推奨されます。なお、SonicWallの公開ページ間でlogin URIのアンダースコア表記に差異があるため、検知漏れを避けるにはextraweb_access.logでは/__api__/loginと/_api_/loginの両方、および/__api__/logoutを確認してください。/var/lib/unit/conf.jsonについては、/__api__/loginと/__api__/logoutのルート定義を確認します。不明な場合はSonicWallサポートへ確認することが推奨されます。
- extraweb_access.log:HTTP 200ステータスで
/__api__/login(または/_api_/login)、/__api__/logoutへのリクエスト。SonicWallは、これらのURIへのHTTP 200リクエストをIoCとして列挙しています。 - extraweb_access.log:HTTP 101ステータスで
/wsproxyへのリクエストのうち、疑わしいhostパラメータを含むもの。 - ctrl-service.log:「hotfix removal」のエントリのうち、パストラバーサル的な名称を含むもの。
- /var/lib/unit/conf.json:ファイル内容に
/__api__/loginまたは/__api__/logoutのルート定義が含まれること。SonicWallは、これらのルート定義が含まれる状態をIoCとして列挙しています。
SonicWallは、2026年7月14日のChange Logで/var/lib/unit/conf.jsonに関するIoCを追加しています。設定ファイルに残るIoCは、ローテーションされるログよりも残存しやすい可能性があるため、ログと併せて確認することが重要です。
侵害検知時の復旧手順
SonicWallは、上記IoCのいずれかが観測された場合の復旧手順として以下を明示しています。IoCが確認された場合は、アプライアンスの再構築が必要です。
- 再イメージまたは再デプロイ:物理筐体(6210、7210)は再イメージ、仮想アプライアンス(8200v)は再デプロイ。
- 認証情報のリセット:ユーザおよび管理者パスワードをすべて変更する。
- TOTPトークンのリセット:時刻ベースワンタイムパスワード(TOTP)トークンをリセットする。
- 設定バックアップの扱い:SonicWallは、2025年12月のホットフィックス(12.4.3-03245および12.5.0-02283)をインストールする前に取得した設定バックアップのみを使用するよう案内しています。それ以降のバックアップしか存在しない場合は、設定が改ざんされていないかを慎重に監査する必要があります。SonicWallは、この基準を設けた理由や、今回の攻撃活動の開始時期を公表していません。
参考として、SonicWallは2025年12月、SMA 1000のローカル権限昇格脆弱性CVE-2025-40602が、未修正のCVE-2025-23006または既存のローカルシステムアカウントへのアクセスと組み合わせて悪用されたと公表しています。CVE-2025-23006が未修正の場合、そのシステムはすでに重大な認証前RCEへ露出しているため、CVE-2025-40602との連鎖によって全体的なリスクや攻撃対象領域が実質的に増えるわけではないとSonicWallは説明しています。ただし、今回の2件と2025年の攻撃活動との関連は確認されていません。
修復手順:ホットフィックスの取得と適用
SonicWallが提示している修復手順は以下の通りです。回避策や軽減策は提示されておらず、ホットフィックス適用が唯一の是正手段になります。
- ホットフィックスの入手:MySonicWall(
https://www.mysonicwall.com)からダウンロード。SonicWallは公開前に影響顧客へ事前通知を行い、サポート経由でも配布した経緯があります。 - アップグレード対象バージョン:12.4.3系は12.4.3-03453以降、12.5.0系は12.5.0-02835以降。
- フォレンジック調査:アップグレード実施後も、IoCの有無を必ず確認する。
- ホットフィックス版数の確認手順:SonicWallはAMC/CMC上でホットフィックス版数を確認する手順をKnowledge Baseとして別途公開している。
SonicWallは「アップグレード適用だけでは不十分であり、ログのレビューとKB記事の指示に沿った対応を強く推奨する」と広報を通じてコメントしており、ホットフィックス適用と侵害調査の両輪での対応が必要と位置付けています。
CISA KEV追加とFCEB期限
米CISAはSonicWall公表と同日の2026年7月14日、CVE-2026-15409およびCVE-2026-15410を含む合計4件の脆弱性(残る2件は同日のMicrosoft Patch TuesdayでゼロデイとされたCVE-2026-56155のActive Directory Federation Services、CVE-2026-56164のSharePoint関連)をKnown Exploited Vulnerabilities(KEV)カタログへ追加しました。CISAは、実際の悪用を示す証拠に基づいて両脆弱性をKEVへ追加しました。具体的な攻撃チェーンや攻撃者の詳細は公表していません。CISAはBOD 26-04に基づき、FCEB機関に対して2026年7月17日までにベンダーの指示に従った対応を行い、対応できない場合は製品の使用を中止するよう求めています。SonicWallは回避策を提示していないため、対象環境では修正版への更新が必要です。
KEVカタログには過去にもSMA1000関連の脆弱性(CVE-2025-23006、CVE-2025-40602)が登録されており、SonicWall SMA1000シリーズがKEVに追加されるのはこれが初めてではありません。CISAは実悪用の証拠に基づいて今回の2件をKEVへ追加し、FCEB機関に2026年7月17日までの対応を求めています。
運用担当者にとってのポイント
SMA 1000シリーズを運用している組織は、ホットフィックス適用と並行して以下の点を確認することが推奨されます。CISAが求める17日期限はFCEBに向けたものですが、実悪用中のゼロデイという性質上、期限にかかわらず優先度は高い状態です。
- アプライアンスの棚卸し:本番系だけでなく、災害復旧用の待機ノード、テスト環境、休眠状態のアプライアンスもすべて含めて対象バージョンかを確認する。
- ログとIoCの点検:ホットフィックス適用の前後で
extraweb_access.log、ctrl-service.log、/var/lib/unit/conf.jsonを精査する(具体的な確認項目は前章参照)。ログのローテーションで既に消えている可能性を想定し、既存のSIEM側の長期保管ログも参照する。 - 侵害検知時の復旧準備:再イメージ手順(6210/7210向けのKnowledge Base公開済)、パスワード変更フローとTOTPリセットフローを事前に整理しておく。設定バックアップの利用可否には2025年12月時点での線引きがある点に注意する(前章参照)。
- 認証情報の見直し:実悪用が確認されている以上、IoCが観測されない環境でも管理者アカウントの棚卸しと監査ログの点検は行っておく。SonicWallは管理者認証の取得経路を公表していませんが、一般的な予防措置として、管理者アカウントの不審な利用や認証情報の再利用がないかを確認する。
- 境界機器全体の露出評価:SMA 1000シリーズが直接インターネットに露出する構成である場合、管理用インターフェースへのアクセス制御(信頼できるネットワークからのみ許可する設定)を並行して見直す。ホットフィックスの代替にはならないが、次のゼロデイに備えた露出低減として意味を持つ。
SMA 1000のようなリモートアクセス機器は、境界に置かれることが前提で「内側に信頼、外側に不信」という運用モデルの結節点にあります。今回は、認証不要のSSRFと管理者認証後のRCEが同時に公表され、いずれも実悪用が確認されています。具体的な攻撃連鎖は不明ですが、境界機器のログ、認証情報、復旧手順まで含めた緊急対応が必要です。
一次情報・公式情報
- SonicWall PSIRT: SNWLID-2026-0008(SMA1000シリーズ複数脆弱性アドバイザリ)
- SonicWall Product Notice: SMA 1000 Series affected by Multiple Vulnerabilities
- NVD CVE-2026-15409(SSRF、CVSS 10.0)
- NVD CVE-2026-15410(Code Injection、CVSS 7.2)
- CISA: Adds Four Known Exploited Vulnerabilities to Catalog(2026年7月14日)
- CISA BOD 26-04: Prioritizing Security Updates Based on Risk
- SonicWall KB: SMA1000 How to verify the hotfix version on AMC/CMC
- SonicWall KB: How to re-image hardware appliances(SMA6210/SMA7210)
参考情報
- The Hacker News: Two SonicWall SMA 1000 Zero-Days Exploited, One Could Enable Admin Commands
- BleepingComputer: SonicWall warns of SMA1000 flaws exploited in zero-day attacks, patch now
- Help Net Security: SonicWall SMA appliances targeted in zero-day attacks(CVE-2026-15409、CVE-2026-15410)
- SecurityWeek: SonicWall Issues Urgent SMA Patch Warning for Two Zero-Day Exploits
- Security Affairs: SonicWall warns of active exploitation of two SMA 1000 zero-days
- Beazley Security Labs: Critical Vulnerability in SonicWall SMA1000 Appliances Under Active Exploitation(CVE-2026-15409)
slug: sonicwall-sma1000-zero-day-cve-2026-15409-15410
コメント