SonicWall SMA1000の2件のゼロデイ 脆弱性、サイバー攻撃で悪用確認　CVE-2026-83548はCVSS 10.0、早急な更新を

SonicWallは2026年9月1日、Secure Mobile Access（SMA）1000シリーズに影響する2件の脆弱性を公表し、いずれも実際のサイバー攻撃で悪用されていることを確認したと明らかにしました。

対象はCVE-2026-83548とCVE-2026-83549です。CVE-2026-83548は認証前に悪用可能なサーバーサイドリクエストフォージェリ（SSRF）で、CVSSスコアは10.0（Critical）。CVE-2026-83549は認証後に悪用可能なOSコマンドインジェクションで、任意のOSコマンド実行につながる可能性があり、CVSSスコアは7.8（High）です。

SonicWallは、SMA 1000シリーズの6210、7210、8200vについて、影響を受けるバージョンを直ちに修正版へ更新するよう求めています。また、SonicWall Technical Supportと連携して侵害兆候を確認し、IoCが検出された場合には、ハードウェア機器の再イメージまたは仮想アプライアンスの再デプロイ、全ユーザー・管理者パスワードの変更、TOTPトークンの再設定を実施するよう推奨しています。

2件は公表前から攻撃で悪用されていたことから、ゼロデイ脆弱性として扱われます。

SonicWall SMA1000脆弱性のサマリー

• SonicWallは2026年9月1日、SMA 1000シリーズに影響する2件の脆弱性を公表しました。
• CVE-2026-83548は認証前SSRFで、CVSS 10.0（Critical）です。
• CVE-2026-83549は認証後のOSコマンドインジェクションで、CVSS 7.8（High）です。
• SonicWallは両脆弱性について、実際の攻撃で悪用されていることを確認しています。
• 対象製品はSMA 1000の6210、7210、8200vです。
• 影響を受ける主なバージョンは12.4.3-03453系以前、12.5.0-02835系以前です。
• 修正版は12.4.3-03526、12.5.0-02952です。
• CVE-2026-83548は認証なしで悪用可能です。
• CVE-2026-83549は認証済みの管理者による悪用が前提となる脆弱性です。
• SecurityWeekは、2件を組み合わせることで認証なしのリモートコード実行につながる可能性を指摘しています。
• ただし、SonicWallの公開アドバイザリでは攻撃チェーンの具体的な手順や、2件が実際に同一攻撃で連鎖利用されたことまでは公開していません。
• SonicWallは侵害兆候の確認を推奨しています。
• IoCが確認された場合は、再イメージ／再デプロイ、全ユーザー・管理者パスワード変更、TOTP再設定を推奨しています。
• SonicWallファイアウォール上のSSL-VPNやSMA 100シリーズは今回の脆弱性の対象ではありません。
• 9月2日時点でSecurityWeekは、両CVEがCISA KEVに未掲載と報じています。

項目	CVE-2026-83548	CVE-2026-83549
深刻度	Critical	High
CVSS	10.0	7.8
種別	SSRF／意図しないフォワードプロキシ	OSコマンドインジェクション
認証	不要	必要
影響	機微な機能への不正アクセス、未承認操作	任意OSコマンド実行、RCEにつながる可能性
対象コンポーネント	Appliance Work Place	Appliance Management Console（AMC）
実悪用	SonicWallが確認	SonicWallが確認
修正版	12.4.3-03526、12.5.0-02952	12.4.3-03526、12.5.0-02952

CVE-2026-83548は認証前SSRF、CVSS 10.0

CVE-2026-83548は、SMA1000のAppliance Work Placeインターフェースに存在する認証前SSRFの脆弱性です。

SonicWallによると、意図しない代替アクセス経路が存在することで、認証されていないリモート攻撃者が機微な機能へ不正にアクセスし、未承認の操作を実行できる可能性があります。

CVEレコードではCWE-918「Server-Side Request Forgery（SSRF）」およびCWE-441「Unintended Proxy or Intermediary（Confused Deputy）」として整理されています。

CVSSスコアは10.0で、SonicWallの今回の2件のうち最も深刻度が高い脆弱性です。

認証前に到達可能である点から、インターネットへ公開されたSMA1000では特に優先度の高い対応が必要です。

CVE-2026-83549は認証後のOSコマンドインジェクション

CVE-2026-83549は、SMA1000のAppliance Management Console（AMC）に存在するOSコマンドインジェクションの脆弱性です。

特定の条件下で、認証済みのリモート管理者が任意のOSコマンドを実行でき、リモートコード実行につながる可能性があります。

CVEレコードではCWE-78「Improper Neutralization of Special Elements used in an OS Command」として分類されています。

CVSSスコアは7.8（High）です。

CVE-2026-83549単体は認証後の脆弱性であり、未認証攻撃者がそのまま直接RCEできる脆弱性として説明するのは正確ではありません。

2件を組み合わせた未認証RCEの可能性

SecurityWeekは、CVE-2026-83548とCVE-2026-83549を組み合わせることで、未認証のリモートコード実行につながる可能性があると報じています。

CVE-2026-83548は認証前に機微な機能へ不正アクセスできる可能性があり、CVE-2026-83549は認証後に任意OSコマンドを実行できる脆弱性です。

このため、2つの脆弱性を連鎖させる攻撃シナリオは技術的に整合します。

一方、SonicWallの公開アドバイザリは、両脆弱性が実環境で悪用されていることは明記していますが、公開資料では具体的な攻撃チェーンや、同一の侵入で両方が実際に連鎖利用されたことまでは説明していません。

したがって、「2件が実際にチェーンされ、未認証RCE攻撃が確認された」と断定するのではなく、「組み合わせることで未認証RCEにつながる可能性がある」と区別する必要があります。

SonicWall自身が実環境での悪用を確認

SonicWallの製品通知SNWLID-2026-0016には、2件の脆弱性について「actively exploited in the wild」と明記されています。

つまり、PoCが公開されただけではなく、実際の攻撃での悪用がベンダーによって確認されています。

また、CVE情報では、CVE-2026-83548の発見者としてSonicWall PSIRTのAdam Babis氏が記載されており、SonicWall内部で発見されたことが示されています。

SecurityWeekによると、脆弱性と悪用はSonicWall内部で発見されたとされています。

一方、SonicWallは現時点で、攻撃者、被害組織、攻撃開始時期、侵入後の活動、データ流出の有無などを公開していません。

国家関与やランサムウェアグループとの関連を示す公式情報も確認できません。

影響するSMA1000のバージョン

SonicWallが公表した影響製品は以下です。

製品	影響バージョン	修正版
SMA 6210	12.4.3-03453以前、12.5.0-02835以前	12.4.3-03526、12.5.0-02952
SMA 7210	12.4.3-03453以前、12.5.0-02835以前	12.4.3-03526、12.5.0-02952
SMA 8200v	12.4.3-03453以前、12.5.0-02835以前	12.4.3-03526、12.5.0-02952

SonicWallの製品通知では、物理・仮想を問わず、影響バージョンを利用するすべての組織に最新版ホットフィックスへの更新を求めています。

SonicWallファイアウォール上で提供されるSSL-VPN機能や、SMA 100シリーズは今回の2件の脆弱性の対象ではありません。

更新だけでなく侵害確認も必要

今回の脆弱性はすでに実環境で悪用されているため、単にパッチを適用して完了とするのは不十分です。

SonicWallは、影響バージョンを利用している組織に対して、SonicWall Technical Supportへ連絡し、システム上の侵害兆候を確認するよう求めています。

IoCが確認された場合には、次の対応を推奨しています。

• ハードウェアアプライアンスは再イメージする
• 仮想アプライアンスは再デプロイする
• すべてのユーザーパスワードを変更する
• すべての管理者パスワードを変更する
• TOTPトークンをリセットする

この対応内容からも、SonicWallは悪用後に認証情報やセッションなどへの影響が残る可能性を考慮していることが分かります。

ただし、公開アドバイザリでは具体的な侵害指標の一覧は公開されていません。

公開IoCは現時点で示されていない

SecurityWeekによると、SonicWallの公開アドバイザリには攻撃に関する具体的なIoCは掲載されていません。

SonicWallは顧客に対してTechnical Supportへ連絡して侵害確認を行うよう案内しています。

そのため、対象製品を利用している組織は、公開情報だけで「侵害されていない」と判断せず、ベンダーサポートを通じた確認を行うことが重要です。

また、SMA1000がインターネット境界に配置されるリモートアクセス製品であることを考えると、管理者ログイン、設定変更、不審なアカウント、認証関連イベント、外部通信なども確認対象になります。

CISA KEVは9月2日時点で未掲載

SecurityWeekは9月2日時点で、CVE-2026-83548とCVE-2026-83549がCISAのKnown Exploited Vulnerabilities（KEV）Catalogにまだ追加されていないと報じています。

ただし、KEVへの掲載有無にかかわらず、SonicWall自身が実環境での悪用を確認しています。

したがって、KEV掲載を待って対応するべき脆弱性ではありません。

特にSMA1000をインターネットへ公開している組織では、SonicWallのアドバイザリを基準として緊急対応を進める必要があります。

7月にもSMA1000の実悪用脆弱性を修正

SonicWallは2026年7月にも、SMA 1000シリーズに影響する複数の脆弱性について緊急更新を公開しています。

7月16日の製品通知では、CVE-2026-15409とCVE-2026-15410について、いずれも実環境で積極的に悪用されていると説明していました。

CVE-2026-15409はSSRFでCVSS 10.0、CVE-2026-15410はリモートコード実行でCVSS 7.2です。

今回のCVE-2026-83548／CVE-2026-83549についてSonicWallは、他のSonicWall製品で報告された脆弱性とは無関係と明記しています。

過去の脆弱性と今回の脆弱性を同一の攻撃キャンペーンや同じ攻撃者によるものと結び付ける公式情報はありません。

情報システム部門への示唆

SMA1000は、社外から社内システムへ接続するための境界機器です。

この種の製品で認証前の脆弱性が実悪用されている場合、一般的なサーバー脆弱性より優先度を上げて対応する必要があります。

対象製品を利用している組織では、まず稼働バージョンを確認し、12.4.3-03526または12.5.0-02952以降へ更新する必要があります。

ただし、今回のように実悪用が確認済みの場合は「更新できた＝安全」と判断しないことが重要です。

パッチ適用前に侵害されていた場合、攻撃者による変更、認証情報の取得、既存セッションなどが残っている可能性があります。

SonicWallがIoC検出時に再イメージ、全ユーザー・管理者パスワード変更、TOTPリセットまで推奨している点を踏まえ、インシデント対応として扱う必要があります。

また、VPNやリモートアクセス機器は、脆弱性管理台帳上で一般的な社内サーバーとは分け、インターネット公開の有無と実悪用情報を加味した優先順位付けが有効です。

少なくとも、

• 製品・モデル
• ファームウェア／ホットフィックス番号
• インターネット公開の有無
• 管理インターフェースの公開範囲
• MFA／TOTPの利用状況
• 管理者・ユーザーアカウント
• ログ保持期間
• 緊急アップデート手順
• 再イメージ／再デプロイ手順

を平時から把握しておく必要があります。

今回の2件はSonicWall自身が実悪用を確認しているため、PoC公開やCISA KEVへの追加を待たず、ベンダー通知を基準に対応すべき事案です。

出典

• Product Notice: SMA 1000 Series affected by Multiple Vulnerabilities (SNWLID-2026-0016) – SonicWall
• Security Advisory SNWLID-2026-0016 – SonicWall PSIRT
• CVE-2026-83548 – CVE Program
• CVE-2026-83549 – CVE Program
• Product Notice: SMA 1000 Series affected by Multiple Vulnerabilities – SonicWall Japan
• SonicWall Warns of Two SMA1000 Zero-Days Exploited in Attacks – SecurityWeek
• Known Exploited Vulnerabilities Catalog – CISA