SonicWall

SonicWallは、脅威アクターがCVE-2026-15409およびCVE-2026-15410として追跡されているSMA1000の2つの脆弱性をゼロデイ攻撃に悪用しているとして警告し、顧客に対し、新たにリリースされたセキュリティ更新プログラムをインストールするよう強く推奨しています。

CVE-2026-15409は、SMA1000アプライアンスのWork Placeインターフェースに存在する「重大」（CVSS 10.0）なサーバーサイドリクエストフォージェリー（SSRF）の脆弱性であり、認証されていないリモートの攻撃者が、アプライアンスに意図しない場所へのリクエストを強制的に行わせることが可能になります。

CVE-2026-15410は、SMA1000アプライアンスの管理コンソールに存在する高深刻度（CVSS 7.2）の認証後コード注入の脆弱性であり、これにより、リモートの認証済み管理者が任意のオペレーティングシステムコマンドを実行できる可能性があります。

image

CVE-2026-15410には管理者権限が必要ですが、SonicWallはこのアドバイザリに総合CVSSスコア10.0を割り当てました。

SonicWallは、複数のインシデントを調査した結果、両方の脆弱性が現在も積極的に悪用されていることを確認したと述べています。

「SonicWall PSIRTは、本アドバイザリで説明されている脆弱性が実際に悪用されていることを示す複数の事例を調査しました」とSonicWallは警告しています。

「お客様には、これらの脆弱性を修正するため、できるだけ早くホットフィックス版にアップグレードすることを強く推奨します」

ただし、同社は攻撃者がこれらの脆弱性を組み合わせて利用しているかどうかについては明らかにしていない。当メディアは攻撃の詳細を明らかにするためSonicWallに問い合わせを行っており、回答が得られ次第、この記事を更新する予定である。

これらの脆弱性は、プラットフォーム・ホットフィックス・リリース 12.4.3-03245、12.4.3-03387、 12.4.3-03434、12.5.0-02283、12.5.0-02624、および12.5.0-02800を実行しているSMA1000モデル6210、7210、8200vに影響を及ぼします。  修正プログラムは、プラットフォーム・ホットフィックス・バージョン 12.4.3-03453 および 12.5.0-02835、ならびにそれ以降のリリースで利用可能です。 

SonicWall によると、これらの脆弱性は、SonicWall ファイアウォールまたは SMA 100 シリーズ製品ライン上で動作する SSL-VPN には影響を与えないとのことです。

また同社は、管理者がアプライアンスが侵害されているかどうかを判断するために使用できる侵害の兆候（IOC）も公開しました：

  • extraweb_access.log に、HTTP ステータス 200 の /__api__/login または /__api__/logout へのリクエストが記載されている場合
  • extraweb_access.log に、不審なホストパラメータを含む /wsproxy へのリクエストが、HTTP ステータス 101 とともに記録されている場合
  • ctrl-service.log に、パストラバーサル名を含むホットフィックスのロールバックが記録されている場合
  • /var/lib/unit/conf.json に /__api__/login または /__api__/logout へのルートが含まれている場合（これらの URI は正規の設定には存在しません）

SonicWall では、最新のホットフィックス リリースにアップグレードし、上記の IOC のいずれかが存在するかどうかを判断するための分析を行うことを強く推奨します。

デバイスが侵害されていることが判明した場合、同社は管理者に対し、物理アプライアンスのイメージを再インストールするか、仮想アプライアンスを再展開し、すべてのユーザーおよび管理者のパスワードを変更し、TOTPトークンをリセットするよう助言しています。

また、SonicWall は、ホットフィックスのインストール以外に、これらの脆弱性に対する回避策や緩和策はないと述べています。

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、これら2つの脆弱性を「既知の悪用されている脆弱性（KEV）」カタログに追加し、これらが攻撃において積極的に悪用されていることを確認しています。

連邦機関は、拘束力のある運用指令（BOD）26-04に基づき、2026年7月17日までに影響を受けるシステムのセキュリティ対策を講じるか、緩和策を適用できない場合は当該製品の使用を中止する必要があります。