SonicWall SMA1000にゼロデイ脆弱性、既にサイバー攻撃へ悪用(CVE-2026-15409, CVE-2026-15410)|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月20日更新日時: 2026年07月20日

SonicWallは2026年7月14日、リモートアクセス製品「SMA1000」シリーズに存在する2件の脆弱性について、緊急のセキュリティアドバイザリ(SNWLID-2026-0008)を公開しました。うち1件はCVSSスコア10.0という最高深刻度で、いずれもパッチ公開前から実際の攻撃で悪用されていたことが確認されています。同社のSMA1000シリーズを巡っては、当サイトでも過去に類似のSSRF脆弱性や管理コンソールの脆弱性がゼロデイ攻撃に悪用された事例を継続して報じてきました。

サマリー

SonicWallは2026年7月14日、SMA1000シリーズの脆弱性2件(CVE-2026-15409、CVE-2026-15410)を修正するホットフィックスを公開し、対象顧客への事前通知を経てセキュリティアドバイザリ(SNWLID-2026-0008)を発表した
CVE-2026-15409はCVSSスコア10.0(最高深刻度)のSSRF(サーバーサイドリクエストフォージェリ)の脆弱性で、SMA1000のWork Placeインターフェースに存在する。認証もユーザー操作も一切不要で、ネットワーク経由でリモートから悪用でき、攻撃者はアプライアンスを操って任意の内部・外部の宛先へリクエストを発行させ、ネットワークセグメンテーションの制御を実質的に回避できる
CVE-2026-15410はCVSSスコア7.2(高)のコードインジェクションの脆弱性で、管理コンソール(AMC)に存在する。認証済みの管理者権限を持つ攻撃者が、任意のOSコマンドを実行できる
SonicWall PSIRTの調査により、両脆弱性ともパッチ公開前から実際の攻撃で悪用されていたことが確認された。海外メディアの報道によれば、これまでに観測された攻撃では2つの脆弱性が連携して使われているとされるが、SonicWall自身は連鎖悪用そのものについては公式に確認していない
影響を受けるのはSMA1000のモデル6210・7210・8200vで、ファームウェアバージョン12.4.3-03245〜12.4.3-03434および12.5.0-02283〜12.5.0-02800が対象。SonicWallファイアウォール上のSSL-VPNおよびSMA 100シリーズは影響を受けない
修正版はプラットフォームホットフィックス12.4.3-03453または12.5.0-02835で、mysonicwall.comから入手できる。回避策(ワークアラウンド)は存在せず、パッチ適用が唯一の完全な対処法とされている
CISAは2026年7月14日、両脆弱性を既知の悪用された脆弱性(KEV)カタログへ追加し、米連邦文民機関に対し2026年7月17日までの対応をBOD 26-04に基づき義務付けた

項目	内容
アドバイザリ公開日	2026年7月14日(SNWLID-2026-0008)
CVE-2026-15409	SSRF、CVSS 10.0(最高)、未認証・リモート・ユーザー操作不要
CVE-2026-15410	コードインジェクション、CVSS 7.2(高)、認証済み管理者権限が必要
悪用状況	パッチ公開前から両脆弱性とも実際の攻撃で悪用済み
影響を受けるモデル	SMA1000 6210・7210・8200v
影響を受けないもの	SonicWallファイアウォール上のSSL-VPN、SMA 100シリーズ
修正版	プラットフォームホットフィックス12.4.3-03453、12.5.0-02835
回避策	なし(パッチ適用が唯一の対処法)
CISA KEV追加日	2026年7月14日、連邦機関の対応期限は7月17日

1 何が起きたか-2つの脆弱性による完全なリモートコード実行への連鎖
2 影響を受ける製品と対応
3 SonicWall SMA1000を巡る繰り返される深刻な脆弱性
4 情報システム部門への示唆
5 出典

何が起きたか-2つの脆弱性による完全なリモートコード実行への連鎖

SonicWallのセキュリティアドバイザリによれば、CVE-2026-15409はSMA1000のWork Placeインターフェースに存在するSSRF(サーバーサイドリクエストフォージェリ)の脆弱性です。CWE-918に分類され、CVSSスコアは最高値の10.0です。認証もユーザー操作も一切不要で、ネットワーク経由でリモートから悪用できます。この脆弱性を突かれると、攻撃者はアプライアンス自体に任意の内部または外部の宛先へリクエストを発行させることができ、これによりネットワークセグメンテーションによる制御を実質的に回避されてしまいます。

CVE-2026-15410は、管理コンソール(Appliance Management Console、AMC)に存在するコードインジェクションの脆弱性(CWE-94)です。CVSSスコアは7.2(高)で、CVSSベクター文字列は「CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H」と示されており、管理者権限で認証済みのリモート攻撃者が任意のOSコマンドを実行できるとされています。

海外メディアの報道によれば、これまでに観測された攻撃では、この未認証のSSRF脆弱性と、認証後のコードインジェクション脆弱性が連携して使われ、アプライアンスの完全な制御(フルRCE)を達成しているとされています。ただし、この2つの脆弱性が実際に連鎖して悪用されているという点について、SonicWall自身は公式には確認していません。SonicWall PSIRTは、両脆弱性がパッチ公開前から実際の攻撃で悪用されていたことを示す複数の事例を調査したとしています。SMA1000のようなリモートアクセスゲートウェイは、その性質上インターネットに公開される設計になっているため、格好の標的になりやすいとされています。

影響を受ける製品と対応

影響を受けるのは、SMA1000のモデル6210・7210・8200vで、ファームウェアバージョン12.4.3-03245から12.4.3-03434まで、および12.5.0-02283から12.5.0-02800までが対象です。なお、SonicWallファイアウォール上で動作するSSL-VPN、およびSMA 100シリーズ製品には影響がないとされています。

SonicWallは、対象顧客に対して事前に通知を行ったうえで、2026年7月14日にホットフィックスを一般公開しました。修正版はプラットフォームホットフィックス12.4.3-03453または12.5.0-02835で、mysonicwall.comから入手できます。この脆弱性には回避策(ワークアラウンド)が存在せず、パッチ適用が唯一の完全な対処法だとされています。

侵害の痕跡(IOC)としては、正規の設定には存在しないはずの「/api/login」や「/api/logout」への不正なルートが「/var/lib/unit/conf.json」内に確認される場合や、アクセスログ内の不審な「/wsproxy」へのリクエストが挙げられています。専門家は、パッチの適用だけでは既存の侵害を除去できないと警告しており、もしこれらの痕跡が確認された場合は、ハードウェアアプライアンスの再イメージ化または仮想アプライアンスの再展開、全ユーザー・管理者のパスワード変更、TOTPトークンの再設定を行うことを強く推奨しています。

CISAは2026年7月14日、両脆弱性を既知の悪用された脆弱性(KEV)カタログへ追加し、拘束的運用指令(BOD)26-04に基づき、米連邦文民機関に対し2026年7月17日までの対応を義務付けています。

SonicWall SMA1000を巡る繰り返される深刻な脆弱性

当サイトで既報の通り、SonicWallのSMA1000シリーズを巡っては、今回に類似した深刻な脆弱性が過去にも複数回確認されています。2025年1月には、SMA1000の管理コンソール(AMC/CMC)における非直列化(デシリアライズ)の脆弱性(CVE-2025-23006、CVSSスコア9.8)が、パッチ公開前からゼロデイ攻撃で悪用されていたことが確認されており、未認証のリモート攻撃者が任意のコードを実行し、対象システムを完全に制御できる状態にありました。また、同じくSMA1000シリーズではSSRFの脆弱性(CVE-2025-40595)も深刻な脆弱性として報告されています。

このほか、SMA 100シリーズにおいても、Apache HTTP Serverの脆弱性とパストラバーサルを組み合わせた攻撃や、認証済みリモートコード実行の脆弱性(CVE-2025-40599)、ランサムウェアグループAkiraによるSSL VPNの脆弱性(CVE-2024-40766)の悪用など、SonicWall製品全般でリモートアクセス関連の脆弱性が繰り返し発見・悪用されてきた経緯があります。2025年10月には、SonicWall自身が不正アクセスにより全クラウドバックアップの顧客ファイアウォール設定が盗まれる事案も経験しています。今回のSSRFおよびコードインジェクションの組み合わせは、こうした一連の管理コンソール・リモートアクセス関連の脆弱性の系譜に連なるものであり、SMA1000シリーズの管理インターフェース周りが継続的に攻撃者の標的になっていることを示しています。

情報システム部門への示唆

自組織でSonicWall SMA1000シリーズを運用している場合は、まず対象モデル(6210・7210・8200v)およびファームウェアバージョンに該当するかを確認し、該当する場合は直ちにプラットフォームホットフィックス12.4.3-03453または12.5.0-02835へ更新してください。回避策が存在しない以上、パッチ適用を先送りする選択肢はありません。

あわせて、パッチ適用だけでは既存の侵害を除去できない可能性がある点を踏まえ、アドバイザリに示されたIOC(不正な/api/login・/api/logoutルートの有無、/wsproxyへの不審なリクエスト)について、extraweb_access.logやctrl-service.log、/var/lib/unit/conf.jsonを確認するフォレンジック調査を実施することを強く推奨します。侵害の痕跡が確認された場合は、単なるパッチ適用にとどまらず、アプライアンスの再イメージ化・再展開、全ユーザー・管理者アカウントのパスワード変更、TOTPトークンの再設定まで実施してください。

今回の事案が示す通り、SMA1000のようなインターネットに公開されるリモートアクセスゲートウェイの管理コンソール・Work Placeインターフェースは、攻撃者にとって極めて魅力的な標的であり続けています。過去のCVE-2025-23006の事例とあわせて考えると、こうした管理インターフェースへのアクセスを可能な限り信頼できるネットワークからのみに制限し、多要素認証を徹底したうえで、ベンダーからのセキュリティアドバイザリを定常的に監視し、パッチ公開後は速やかに適用できる運用体制を整えておくことが重要です。