SonicWall製VPNのゼロデイ脆弱性を突くサイバー攻撃、公開前に特権アクセスを奪取していたことが判明

要点

• SonicWall製VPNアプライアンス「SMA 1000シリーズ」のゼロデイ脆弱性が、情報公開前に悪用されていたことが判明しました。

• セキュリティ企業Volexityによると、攻撃グループ「UTA0533」が2026年6月22日より攻撃を開始していました。

• 悪用された2つの脆弱性を組み合わせることで、システムの最高管理権限（root）が奪取可能でした。

• SonicWallはすでに修正パッチを公開しており、利用者に速やかな対策を呼びかけています。

• 米国のセキュリティ企業Volexityは2026年7月17日、SonicWall製のSecure Mobile Access（SMA）1000シリーズVPNアプライアンスを標的としたゼロデイ攻撃（修正パッチの公開前に行われるサイバー攻撃）を検知したと発表しました。「UTA0533」と呼ばれる未追跡の攻撃グループが、脆弱性の公開前である2026年6月22日から脆弱性を悪用し、アプライアンスの最高管理権限（root権限）を奪取していたことが明らかになりました。この発見は、同月上旬に行われたインシデント対応調査（セキュリティ侵害が発生した際に行われる被害確認や原因追究のための調査）の過程でもたらされました。

• Volexityの報告によると、今回の攻撃では「CVE-2026-15409」および「CVE-2026-15410」の2つの脆弱性が連鎖的に悪用されました。これらは、認証を受けていない外部の攻撃者がアプライアンス上で任意のコマンドを実行し、デバイスを乗っ取ることを可能にするものです。SonicWallは今週、これらの修正パッチを公開しました。なお、被害組織の名称は公表されていません。

• 調査では、被害組織の2台のSonicWall SMA VPNアプライアンス（外部から安全に接続するための専用機器）で異なる攻撃の痕跡が確認されました。

• 1台目のアプライアンスでは、一般ユーザーからroot権限でコマンドを実行できるようにする「setuid」（実行時に特定の所有者の権限で動作するファイル属性）を設定されたバイナリファイル [xzfind](file:///usr/bin/xzfind) が作成されていました。さらに、正規プロセスに割り込むPythonスクリプト [deploy_new.py](file:///usr/lib/python3.11/site-packages/deploy_new.py) も設置され、オープンソースのHTTPプロキシ「Suo5」と、遠隔操作用の不正プログラム「ORANGETAIL」が仕込まれていました。攻撃者は、Webサーバーの設定ファイル [conf.json](file:///var/lib/unit/conf.json) を変更してバックドアへの通信経路を構築していました。

• 2台目のアプライアンスでは、同様の設定改ざんは失敗していたものの、一時ディレクトリ内にユーザー認証データを盗聴するためのスクリプト [lib.sh](file:///var/tmp/lib.sh) が作成されていました。これにより、暗号化されていないLDAPトラフィック（ユーザー認証に用いるデータ通信）を監視してユーザー名とパスワードを抽出する試みが行われていました。なお、この2台目は7月2日の再起動でメモリ上の痕跡が消失していたため、確認された痕跡は少なかったと報告されています。

• Volexityの解析によると、最初に悪用される「CVE-2026-15409」は、認証を必要としない「/wsproxy」エンドポイントにおける認証回避の脆弱性です。特定のユーザーエージェント情報と、特定の数値から始まるIDを含むリクエストを送信することで、アプライアンス内部 of サービスに対してWebSocket（リアルタイムで双方向通信を行うプロトコル）のトンネルを確立できます。このトンネルを介して、もう1つの脆弱性「CVE-2026-15410」を悪用し、コマンドの挿入や権限昇格を組み合わせることで、認証なしでシステムの最高管理権限を奪取することが容易になっていたと説明されています。

• また、調査の過程で、今回の攻撃では使われなかったものの、別の認証バイパスの欠陥も発見されました。それは、SMA制御サービスの認証パスワードが、機器固有のUUID（製品の識別番号）をベースに生成されているという仕様です。このUUIDが保存されているファイル [product_uuid](file:///sys/class/dmi/id/product_uuid) は誰でも読み取れる設定になっていたため、一般ユーザーであっても認証用パスワードを特定することが可能でした。ただし、このUUIDは物理デバイスにしか存在しないため、仮想アプライアンス環境は影響を受けないとのことです。

• Volexityの共同創設者であるショーン・コエセル氏らは、「この脅威アクターは複数のゼロデイ脆弱性と、SonicWall SMA向けに特別に設計されたマルウェアを使用していた」と述べ、高度な攻撃手法について注意を促しています。