SonicWall「SMA 1000」の重大脆弱性、パッチ公開直後に135件の攻撃試行を観測

要点

• SonicWallのアクセス管理機器「SMA 1000」で、CVSSスコア10.0の重大な脆弱性「CVE-2026-102255」が判明した。

• 事前認証なしで機器にリクエストを中継させ、内部機能の不正操作を許す恐れがある。

• 2026年10月6日の修正パッチ公開からわずか2日後の10月8日に、実環境での悪用試行が検知された。

• 米国の2つのIPアドレスから計135件の攻撃試行が確認されている。

• 同製品では2026年6月にも別グループによるゼロデイ攻撃が確認されており、侵入の足場として継続的に狙われている。

• 米SonicWallのリモートアクセス機器「SMA 1000」シリーズに存在する極めて深刻な脆弱性について、パッチ公開直後から実際のエクスプロイト試行が確認されていることが明らかになった。脅威インテリジェンス企業各社が2026年10月8日以降の攻撃活動を報告しており、すでに135件の試行が観測されている。危険度の指標であるCVSSスコアは最高値の10.0と評価されている。

事前認証不要のSSRF、深刻度は満点の「CVSS 10.0」

今回特定された脆弱性は「CVE-2026-102255」として管理されており、共通脆弱性評価システム（CVSS：脆弱性の深刻度を評価する国際基準）の基本値で最高評価の「10.0（Critical）」が付けられている。

本脆弱性の本質は、認証を必要としない事前認証型のサーバーサイド・リクエスト・フォージェリ（SSRF：サーバーを騙して内部ネットワークへ通信を中継させる手法）にある。攻撃者はリモートから細工した指示を送信することで、機器に代理でリクエストを発行させ、認証なしで内部機能へ到達して不正な操作を実行できるという。

パッチ公開からわずか2日で攻撃が表面化

SonicWallはこの問題に対処するため、2026年10月6日に修正プログラムを公開した。対象バージョンは「12.4.3-03670（platform-hotfix）」および「12.5.0-03082（platform-hotfix）」で、プラットフォーム向けホットフィックスとして提供されている。

しかし、修正プログラムの登場から間を置かずして悪用の動きが確認された。脅威インテリジェンス企業のDefused CyberとPrevidianの2社が、パッチ公開から2日後の10月8日に最初の攻撃の兆候を検知したと報告している。

Previdianのテレメトリデータによると、現在までに確認された攻撃試行は合計135回に上り、米国内の2つの固有IPアドレスから発信されていた。なお、SonicWallの公式アドバイザリ（SNWLID-2026-0017）には、本脆弱性の悪用が確認された旨の記述はまだ反映されていない。

過去にもゼロデイ攻撃の標的となった同製品

SMA 1000が実環境で狙われるのは今回が初めてではない。2026年6月にも同一製品において2件の重大な脆弱性（CVE-2026-15409：CVSS 10.0、CVE-2026-15410：CVSS 7.2）が確認されていた。

これらの欠陥は、未修正の状態で悪用されるゼロデイ脆弱性として、脅威アクター「UTA0533」によって兵器化されていた。攻撃者はJavaベースのWebシェル（サーバーを遠隔操作する不正プログラム）を設置し、「KNUCKLEBALL」と呼ばれるマルウェアを展開していた。

セキュリティ企業のRapid7も同様の攻撃を観測しており、攻撃者が公開機器を標的にOS上でコマンドを実行し、持続的な侵入経路を確保していたと報告している。同社によると、攻撃者は機器侵入後に認証情報やアクティブセッション、TOTP（時間ベースのワンタイムパスワード）による多要素認証（MFA）のシード設定を組織的に窃取し、内部ネットワークへの横展開（ラテラルムーブメント）を進めていたという。

補足

社内ネットワークへの境界に位置するリモートアクセス機器は、侵入の足場として攻撃者に狙われやすい。パッチ公開直後から迅速に悪用が試みられた事実が、改めて浮き彫りとなった形だ。