SonicWallのVPN機器「SMA 1000」に2件のゼロデイ脆弱性、連鎖悪用による遠隔コード実行の恐れ

要点

• SonicWallは、VPNアプライアンス「SMA 1000」シリーズに存在する2件のゼロデイ脆弱性を修正するアップデートを公開した。

• 脆弱性には最大深刻度「CVSS 10.0」の認証前SSRFと「CVSS 7.8」のOSコマンドインジェクションが含まれる。

• 実際の攻撃において、これら2つの欠陥を組み合わせて任意コードを実行する「攻撃チェーン」の存在が示唆されている。

• 対象モデルはSMA 6210、7210、8200vで、修正ホットフィックスの適用や侵害痕跡の点検が推奨されている。

• 同製品では約1か月前にも別の脅威アクターによるゼロデイ悪用とマルウェア感染が確認されていた。

• ネットワークセキュリティ機器大手のSonicWallは2026年9月、同社のVPN（仮想プライベートネットワーク）アプライアンス「Secure Mobile Access（SMA）1000」シリーズに存在する2件の脆弱性に対処するセキュリティアップデートを公開した。これらの欠陥は、修正プログラムが提供される前にサイバー攻撃で悪用された「ゼロデイ脆弱性」であることが判明している。同社は影響を受ける機器の管理者に対し、最新の修正パッチの適用とシステムの点検を速やかに実施するよう呼びかけている。

発覚した2件の脆弱性と「攻撃チェーン」の懸念

今回の脆弱性は、SonicWall内部のリサーチャーであるWilliam Perry氏とAdam Babis氏によって発見された。公開されたセキュリティアドバイザリによると、報告された脆弱性の詳細は以下の通りである。

1件目の「CVE-2026-83548」は、共通脆弱性評価システム（CVSS）のスコアで最高値となる10.0と評価されている極めて深刻な欠陥だ。これは機器の「Appliance Work Place」インターフェースに存在するSSRF（サーバー側から意図しないリクエストを送信させられる不具合）の脆弱性である。事前の認証を必要としないため、遠隔の攻撃者が未認証の状態で機密機能へアクセスしたり、不正な操作を実行したりできる状態になっていたという。

2件目の「CVE-2026-83549」は、CVSSスコア7.8と評価されたOSコマンドインジェクションの脆弱性だ。こちらは機器の管理画面である「Appliance Management Console（AMC）」に存在し、管理者として認証された遠隔の攻撃者が特定の条件下で任意のOSコマンドを実行できる欠陥である。悪用に成功した場合、リモートコード実行（遠隔からの任意プログラムの実行）につながる恐れがある。

これらは単体でも危険な脆弱性だが、特に警戒されているのが2件を組み合わせた悪用だ。SonicWallは「脆弱性の活発な悪用を示す事例を調査した」と説明している。これは、未認証の攻撃者がまずSSRF脆弱性を突いて内部の機密機能へアクセスし、続いてコマンドインジェクション脆弱性を利用することで、最終的に外部から一気に任意コードを実行する「攻撃チェーン（一連の攻撃手法）」が形成されている可能性を示している。

影響を受ける対象製品と修正バージョン

今回の脆弱性の影響を受けるのは、SMA 1000シリーズのうち以下のモデルである。

• SMA 6210
• SMA 7210
• SMA 8200v

対象となるソフトウェアバージョン、および修正が適用されたプラットフォームホットフィックスのバージョンは以下の通りだ。

• 影響を受けるバージョン:
  • 12.4.3-03453（platform-hotfix）およびそれ以前のバージョン
  • 12.5.0-02835（platform-hotfix）およびそれ以前のバージョン
• 修正適用済みバージョン:
  • 12.4.3-03526（platform-hotfix）
  • 12.5.0-02952（platform-hotfix）

推奨される対処法と侵害時の対応手順

SonicWallは、対象アプライアンスを運用する管理者に向けて具体的な対応手順を提示している。最優先の対策として最新のホットフィックスバージョンへのアップグレードを求めているほか、すでにシステムが侵害されていないかを調査するよう促している。

管理者が実施すべき手順として、システム内にIoC（侵害痕跡：不正アクセスの形跡や異常なログ）が存在しないかを確認することが挙げられている。もしIoCが発見され、攻撃者による侵入の兆候が認められた場合には、単なるパッチ適用にとどまらず、以下の初期化およびリセット対応を行うことが推奨されている。

• 対象アプライアンスの再イメージ化（OSやファームウェアの再インストール）または再デプロイ
• すべての一般ユーザーおよび管理者アカウントのパスワード変更
• TOTP（Time-based One-Time Password：時間ベースのワンタイムパスワード）の秘密鍵や設定のリセット

攻撃者が侵入後にバックドアを設置したり認証情報を窃取したりしている可能性に備え、環境を完全にクリーンな状態へ戻す措置が求められている。

攻撃者の詳細は未公表、短期間で続くゼロデイ悪用

現時点において、SonicWallは今回のゼロデイ攻撃を実施している脅威アクターの素性や、攻撃の具体的な手口・被害規模などの詳細については公表していない。

なお、同社のSMA 1000シリーズを巡っては、約1か月前の2026年7月にも2件の深刻なゼロデイ脆弱性（CVE-2026-15409 / CVSS 10.0、CVE-2026-15410 / CVSS 7.2）への対処パッチが公開されたばかりだった。その際の事案では、「UTA0533」と呼ばれる脅威アクターが脆弱性を悪用し、「KNUCKLEBALL」と呼ばれるマルウェアを対象機器へ展開していたことが判明している。同一の製品ラインを標的としたゼロデイ悪用が短期間に相次いで確認された格好だ。