SonicWallのVPN機器「SMA1000」に極めて深刻なSSRF脆弱性、CISAが実悪用を確認し緊急対策を要請

要点

• SonicWall製VPNアプライアンス「SMA1000」に、認証なしで遠隔から悪用可能なSSRF脆弱性「CVE-2026-15409」が発覚した。

• 米国CISAは、本脆弱性が実際の攻撃に悪用されていることを確認し、緊急の警告カタログに登録した。

• CVSS 3.1の深刻度評価では最高値の「10.0」となっており、Linux版ファームウェアの一部バージョンが影響を受ける。

• 管理者には、現地時間2026年7月17日までの極めて短い猶予期間での緩和策適用が求められている。

• 現地時間2026年7月14日、セキュリティ機器大手SonicWallのVPNアプライアンス「SMA1000」シリーズに、深刻な脆弱性「CVE-2026-15409」が存在することが判明した。これを受け、米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、本脆弱性が既に実際の攻撃で悪用されていることを認め、即座に対策を義務付けるカタログに追加した。CISAは関係組織に対し、同月17日までの緊急対応を要請している。

脆弱性の性質と影響

本脆弱性は、サーバーに対して意図しないリクエストを送信させる「SSRF（サーバーサイド・リクエスト・フォージェリ）」と呼ばれるセキュリティ上の欠陥である。SSRFとは、悪意のある第三者が対象サーバーを踏み台にし、通常アクセスできない内部システムなどへの通信を強制する手法である。

今回の問題は、SMA1000アプライアンスのウェブベースの操作画面「Work Place」インターフェースで特定された。遠隔の攻撃者は、ユーザー認証を経ることなくアプライアンスに指示を送り、意図しない宛先へリクエストを実行させることができる。これにより、保護された内部ネットワーク内の別システムへの接続を許すなどの危険性がある。共通脆弱性タイプ一覧（ソフトウェアの脆弱性の種類を識別するためのコード体系）「CWE」の分類では、「CWE-918（SSRF）」と定義されている。

最大値「10.0」の深刻度

CISAの評価グループ（CISA-ADP）による「CVSS 3.1（脆弱性の深刻度を評価する業界標準の共通脆弱性評価システム）」基本スコアは、最高深刻度を示す「10.0（緊急）」と測定された。評価基準の詳細によると、ネットワーク経由で遠隔から攻撃可能で、前提条件や事前の認証が不要であり、利用者の操作を必要とせず、外部システムに対しても情報漏洩やデータ改ざんといった最大規模の影響が波及する構成となっている。

またCISAの判定基準（SSVC）では、すでに「実際の攻撃での悪用（active）」が進行中で、自動化ツールによる攻撃が「可能（automatable）」、技術的影響は「全面（total）」とされている。なお、米国政府の国家脆弱性データベース（NVD）による評価は準備中であり、現時点で独自の評価値は未公開である。

影響を受けるバージョン

脆弱性が存在するのは、Linuxプラットフォームで動作する「SonicWall SMA1000」アプライアンスである。影響を受けるバージョンは以下の範囲である。

• バージョン「12.4.3-03245」から「12.4.3-03434」まで
• バージョン「12.5.0-02283」から「12.5.0-02800」まで

情報更新のタイムライン

現地時間2026年7月14日、本脆弱性に関する情報は急速に更新された。同日午後4時16分に開発元のSonicWallからCVEレコードが届き、影響バージョンが公開された後、午後5時16分にはCISA-ADPによってCVSSスコア「10.0」の情報が追加された。そして午後6時00分には、CISAによる悪用カタログへの登録が正式に完了した。

求められる対応と期限

CISAは「BOD 22-01」に基づき、対象製品を利用している組織に対して、ベンダーの公式指示に従い速やかに緩和策を適用することを求めている。

具体的な対応として、SonicWallが公開したアドバイザリ（SNWLID-2026-0008）に基づく緩和措置の実行や、CISAのガイダンス（BOD 26-04）に沿った資産評価とパッチ管理、侵害の有無を確認する「フォレンジック・トリアージ（不正アクセスなどの被害状況を迅速に調査する手法）要件」の実行が指示されている。また、有効な緩和措置がない場合は、ただちに製品の稼働を停止することが求められる。

CISAはこの対策期限について、カタログに追加された2026年7月14日からわずか3日後である「2026年7月17日」を設定しており、極めて迅速な対応が呼びかけられている。

補足

開発元のSonicWallは、本脆弱性に対応する専用 of セキュリティアドバイザリページ「SNWLID-2026-0008」を開設している。また、CISAの「Known Exploited Vulnerabilities Catalog」においても、本件に関する情報が掲載されており、適宜最新の緩和情報を確認することが推奨される。