SonicWallのVPN機器「SMA 1000」に2つのゼロデイ脆弱性、アクティブな悪用を確認し緊急パッチが公開

要点

• SonicWallのリモートアクセス機器「SMA 1000」シリーズに影響する2つのゼロデイ脆弱性がアクティブに悪用されている。

• 脆弱性「CVE-2026-15409」はCVSSスコアが最大の「10.0」で、認証されていない遠隔の攻撃者が悪用可能。

• 脆弱性「CVE-2026-15410」は管理コンソールに起因し、ログイン済みの攻撃者が管理者権限で任意のシステムコマンドを実行できる恐れがある。

• 米CISAはこれらを即座に悪用が確認された脆弱性（KEV）カタログに追加し、連邦機関に対し2026年7月17日までのパッチ適用を義務付けた。

• セキュリティ企業のSonicWallは2026年7月15日、リモートアクセス用機器「Secure Mobile Access（SMA） 1000」シリーズに影響する2件のゼロデイ脆弱性（未修正の脆弱性）がサイバー攻撃に悪用されているとして、緊急の警告を発表した。同社は影響を受ける製品の利用者に向け、修正パッチの早急な適用を呼びかけるとともに、すでにシステムが侵害されていないかを調査するための侵害指標（IoC）を公開した。

影響を受ける2つの脆弱性の詳細

今回の発表で特定された脆弱性は、「CVE-2026-15409」と「CVE-2026-15410」の2件である。

「CVE-2026-15409」は、脆弱性の深刻度を示す共通脆弱性評価システム（CVSS）のスコアで最高値の「10.0」と評価されている。この脆弱性は、外部からサーバーを操作して意図しない接続を行わせる「サーバーサイド要求偽造（SSRF）」の脆弱性である。悪用された場合、認証されていないリモートの攻撃者が、アプライアンスに不正なリクエストを実行させ、任意の場所にアクセスさせる可能性があるという。

一方の「CVE-2026-15410」は、CVSSスコア「7.2」と評価されている。アプライアンスの管理画面「アプライアンス・マネジメント・コンソール（AMC）」における「コードインジェクション（不正コードの実行）」の脆弱性で、ログイン済みのリモート攻撃者が、特定の条件下で管理者（Administrator）権限を用い、システム（OS）の任意コマンドを実行できる恐れがある。

アクティブな悪用事例と求められる緊急アップデート

SonicWallはこれらが実際に悪用された複数の事例を確認しており、顧客に対して速やかに以下の対策済みバージョンへのアップデートを実行するよう強く要請している。

• 「12.4.3-03453 (platform-hotfix)」およびそれ以降
• 「12.5.0-02835 (platform-hotfix)」およびそれ以降

侵害の有無を確認するフォレンジック調査と検出時の対応

同社は、すでにアプライアンスが侵害されている可能性を考慮し、システムログなどを分析するフォレンジック調査（侵害有無の技術調査）の実施を強く推奨している。具体的には、以下の侵害指標（IoC：攻撃の痕跡）が検出された場合、すでに侵入されている疑いがある。

• アクセスログの異常: extraweb_access.log に本来存在しない /api/login や /api/logout へのアクセスがあり、結果が「HTTP 200（成功）」である。
• プロキシの不審な挙動: 同ログに /wsproxy へのアクセスがあり、不審なホストパラメータを伴い「HTTP 101（プロトコル切り替え）」ステータスである。
• 管理ログの異常: ctrl-service.log に、相対パスを悪用する「パストラバーサル」を含むホットフィックス（緊急修正プログラム）のロールバック記録がある。
• 設定ファイルの改ざん: 設定ファイル /var/lib/unit/conf.json に、正規の構成にはない /api/login や /api/logout への通信設定が存在する。

これらの兆候が1つでも検出された場合、すでに侵入されている可能性が高いため、パッチ適用だけでは不十分となる。SonicWallは物理機器の再イメージング（初期化）や仮想アプライアンスの再展開を指示しており、あわせて全パスワードの変更やワンタイムパスワード（TOTP）用トークンのリセットも要求している。

発見への貢献と米政府による緊急指令

今回の脆弱性は、SonicWall製品セキュリティインシデント対応チーム（PSIRT）のAdam Babis氏が発見した。また、同社はセキュリティ企業VolexityのSean Koessel氏とSteven Adair氏についても、追加の侵害指標の特定などに貢献したとして謝意を示している。

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この悪用事実を受けて2つの脆弱性を「既知の悪用された脆弱性（KEV）」カタログに即座に追加した。米連邦機関（FCEB）に対しては、2026年7月17日までの迅速なパッチ適用を義務付けている。一般の組織にとっても、この猶予期間の短さは事態の緊迫度を示しており、早急な対応が必要とされる。