SonicWall SMA1000が4度目の悪用、境界VPNは延命か刷新か

2026年9月1日、SonicWallはリモートアクセス装置SMA1000の脆弱性2件が悪用されていると公表した[4]。翌2日、CISA（米サイバーセキュリティ・インフラセキュリティ庁）は2件を既知悪用脆弱性カタログ（KEV）に登録し、米連邦機関に9月5日までの対応とフォレンジック・トリアージを求めた[9]。SMA1000のKEV登録は2025年1月から数えて4度目で、間隔は327日、209日、50日と縮んできた[9]。7月の前回からは、パッチの適用に加えて侵害確認までが求められている[9]。そのたびに証拠保全と侵害確認が要る機器を、パッチで延命し続けるかどうかが問われている。

目次

予備知識

  • SSRF（サーバーサイドリクエストフォージェリ）: 外部からの入力で、機器自身に本来届かない宛先への通信を送らせる脆弱性
  • OSコマンドインジェクション: 外部からの入力で、許可されないOSコマンドを実行させる脆弱性
  • KEV（既知悪用脆弱性カタログ）: CISAが、実際に悪用された証拠のある脆弱性を登録して公開する一覧
  • BOD（拘束力のある運用指令）: CISAが米連邦政府の行政機関に対して発する、従う義務のある指令
  • フォレンジック・トリアージ: 機器の記録を保全・分析し、侵入されていないかを短期間で見極める初動調査

2025年6月刊の第2版。ファイアウォールやVPNによる境界防御が不十分になった前提から、現ネットワークの把握と移行の進め方までを扱い、刷新先を検討する段階で使える。

ゼロトラストネットワーク 第2版 ―境界防御の限界を超えるためのセキュアなシステム設計
created by Rinker

SSRFとOSコマンド注入の連鎖で、認証なしに任意のコマンドを実行される

SMA1000は、従業員など許可された利用者を社内のアプリケーションに接続させる企業向けのリモートアクセスゲートウェイで、利用者向けのWorkPlaceインターフェースは通常の構成でもインターネットに公開されうる[1]。BleepingComputerが掲載したShadowserverの集計では、9月2日時点で外部から到達できるSMA1000は400台を超える[3]。

CVE-2026-83548はWorkPlaceにある認証前のSSRFで、機器を意図しない転送プロキシとして動かせる（CVSS 10.0）[1][4]。CVE-2026-83549はAppliance Management Console（AMC、管理コンソール）のOSコマンドインジェクション（CVSS 7.8）で、単体では管理者としての認証が必要だが、CVE-2026-83548を踏み台にすると認証なしで任意のOSコマンドを実行できる[1][4]。対象機種は6210/7210/8200vで、影響を受けるのは12.4.3-03453以前と12.5.0-02835以前、修正版は12.4.3-03526と12.5.0-02952である[1][4]。

項目CVE-2026-83548CVE-2026-83549
種別（場所）認証前SSRF（WorkPlace）OSコマンドインジェクション（AMC）
CVSS10.07.8
単体での前提認証不要管理者としての認証
攻撃者がWorkPlaceの認証前SSRF（CVE-2026-83548）を経てAMCのOSコマンド注入（CVE-2026-83549）に届き、認証なしで任意のOSコマンドを実行する攻撃チェーン図
WorkPlaceの認証前SSRF（CVE-2026-83548）を踏み台に、本来は管理者認証が必要なAMCのOSコマンド注入（CVE-2026-83549）を認証なしで悪用する

SonicWallは9月1日に修正版と悪用の確認を公表し[4]、CISAは2日にKEVへ登録した[2]。インド国家重要情報インフラ保護センター（NCIIPC）も同日、X上で即時の更新を呼びかけた。

移行を決めた後の具体的な導入手順を実務経験に基づいて解説しており、刷新を決めた後の実行段階で役立つ。

ゼロトラストセキュリティ実践ガイド／津郷晶也
created by Rinker

KEV登録は4度目、間隔は327日、209日、50日と縮んだ

KEVにはSMA1000の脆弱性が4回登録されており、4回とも修正版の公開時点で悪用が報告済み、または疑われていたゼロデイである[1][5][6][9]。

1回目（2025年1月）のCVE-2025-23006は、AMCと中央管理コンソール（CMC）にある認証前のデシリアライズの脆弱性で、Microsoftが修正前に悪用の可能性を報告していた[6]。2回目（2025年12月）のCVE-2025-40602はAMCの権限昇格で、単体のCVSSは6.6だが[10]、CVE-2025-23006と組み合わせて認証なしにroot権限でコードを実行する攻撃に使われた[6]。

3回目（2026年7月）は、WorkPlaceのSSRF（CVE-2026-15409）とAMCのコード注入（CVE-2026-15410）である。Volexityによれば侵入は公表の3週間前の6月22日に始まり、独自のマルウェアが設置された[5]。Rapid7のMDR（マネージド検知・対応）チームは、攻撃者が認証情報、セッション情報、ワンタイムパスワード（TOTP）のシードを機器から持ち出し、ドメインコントローラーへ横展開する動きまで観測した[11]。KEVはランサムウェアでの悪用を既知としている[9]。公表2日後の7月16日には、Rapid7の研究者がCVE-2026-15409の実証コード（PoC）の公開をXで告知した。

12月以降の3回は、認証前に悪用できる脆弱性を入口に、AMC側の脆弱性でコマンド実行や権限昇格につなげる連鎖である[1][6][11]。CVSSが6.6や7.2の脆弱性でも、連鎖の一部になれば機器の乗っ取りに使われる。

KEV登録日CVE（CVSS）悪用の内容KEVでの侵害確認の扱い
2025年1月24日CVE-2025-23006（9.8）[13]認証前デシリアライズでOSコマンド実行記載なし
2025年12月17日CVE-2025-40602（6.6）[10]23006と連鎖しroot権限でコード実行対策後の侵害兆候の確認を備考で推奨
2026年7月14日CVE-2026-15409（10.0）[11]、CVE-2026-15410（7.2）[12]SSRFとコード注入の連鎖、マルウェア設置BOD 26-04のフォレンジック・トリアージが必要
2026年9月2日CVE-2026-83548（10.0）、CVE-2026-83549（7.8）[4]SSRFとOSコマンド注入の連鎖同上

登録日と侵害確認の扱いはKEV[9]による。

SMA1000のKEV登録の間隔は327日→209日→50日と縮んだ
BOD
CISA新指令BOD26-04、パッチ管理を変える3日ルール

数千台規模のサーバー・ネットワーク機器を抱え、脆弱性のパッチ適用可否をCVSS（共通脆弱性評価システム）スコアと担当者の経験則で判断し、独自の稟議フローで運用する企業のセキュリティ部門担当者にとって、2026年6月の米国CISA（Cybe[…]

BOD 26-04で、侵害確認が3日の期限つきの要件になった

KEVでの扱いを変えたのは、CISAが2026年6月10日に発出したBOD 26-04である。BOD 19-02と22-01を廃止して置き換えたこの指令は、是正期限を4つの問いで決める。外部公開か、KEV登録済みか、悪用を自動化できるか、悪用後に機器を完全に掌握されるか（部分的な掌握にとどまるか）である[7]。

期限の表（Table 1）では、KEV登録済みで完全掌握に至る脆弱性が外部公開か自動化可能のどちらかに当たると、3日以内の是正にフォレンジック・トリアージが加わる。どちらにも当たらなければ14日である[7]。指令本文ではこの期限どおりの是正は発出から180日以内とする第3段階の要件だが、KEVの登録項目はすでにこの判定を反映しており、9月の2件は期限9月5日でフォレンジック・トリアージが必要とされた[7][9]。

SMA1000では今回が初めてではない。7月の2件でもKEV項目がBOD 26-04のフォレンジック・トリアージを求めていた。2025年12月のCVE-2025-40602では、対策後にインターネットから到達できる全機器で侵害の兆候を確認するよう、備考で推奨するにとどまっていた[9]。変わったのは、この確認が推奨から、3日の期限と結びついた要件になった点である。

KEV登録済みの脆弱性について、悪用後に完全掌握されるか、外部公開か、悪用を自動化できるかで、3日以内の是正とフォレンジック・トリアージ、3日以内の是正、14日以内の是正に分かれる分岐図。9月のSMA1000の2件はフォレンジック・トリアージの対象
BOD 26-04のTable 1のうち、KEV登録済みの脆弱性に適用される是正期限。完全掌握に至り、外部公開か自動化可能のどちらかに当たると、3日以内の是正にフォレンジック・トリアージが加わる

CISAの実施ガイダンスは、フォレンジック・トリアージを範囲の特定、証拠の保全と収集、パッチの適用、封じ込め、痕跡の分析、エスカレーションの判断の6段階で示し、KEV登録から72時間以内を目安とする（目安自体は義務ではない）[8]。順番が肝心で、パッチ適用で痕跡が失われうるため、必要な証拠はパッチの前に集めるよう求めている[8]。先にパッチを当てると、侵害の有無を後から判定する材料が消える。

BOD 26-04が拘束するのは米連邦の文民行政機関だけだが、CISAはすべての組織にKEV登録の脆弱性を優先して是正するよう勧めている[2]。

他社VPNの侵害事例
Check Point VPN IKEv1バイパス：Qilinランサム侵入と緊急対策

すでに廃止されたプロトコルを使い続けることの代償がランサムウェア侵入として現れた。CVE-2026-50751（CVSS 9.3）はCheck Point Remote Access VPN / Mobile Accessが、廃止済みのI[…]

延命か刷新か、分かれ目は侵害調査を回せるかと保守契約の残り期間

9月の2件は公表前から悪用されていたため、パッチの適用だけでは侵害済みかどうかを判断できない[1]。SonicWallは更新に加えて、テクニカルサポートと侵害の痕跡（IoC）を確認するよう求め、痕跡があれば再イメージ化（仮想版は再デプロイ）、全利用者と管理者のパスワード変更、TOTPトークンの再発行を指示している[4]。7月のように認証情報やTOTPのシードが持ち出されていれば、機器を更新しても盗まれた認証情報は使えるまま残る[11]。

延命を選ぶと、KEV登録のたびにこの作業を繰り返すことになり、直近の間隔は50日だった。この作業を自前か契約で回せるかが第1の分かれ目で、回せるなら保守契約の残り期間が第2の分かれ目になる。刷新先を同じ型のアプライアンスにするだけなら、インターネットに認証前の入口を公開する構造は変わらない。ゼロトラスト型のアクセス制御（社内外を区別せず、アクセスごとに認証・認可を行う設計）への移行も含め、入口を誰が持ち、誰が侵害を確認するかまで決め直すことになる。

侵害調査の体制保守契約の残り期間判断理由と手順
自前か契約で実施できる長いパッチ延命KEV登録のたびに証拠保全、更新、侵害確認を回す
自前か契約で実施できる短い次の契約更新で刷新更新までは上と同じ手順で延命する
実施できない問わない刷新を前倒し侵害の有無を判定できない境界機器を使い続けない
侵害調査を自前か契約で実施できるかを最初に問い、できなければ刷新を前倒し、できる場合は保守契約の残り期間が長ければパッチ延命、短ければ次の契約更新で刷新する分岐図
延命か刷新かは、侵害調査を回せるかと保守契約の残り期間の2点で分かれる

日本語の公的情報とKEVの時差

日本語で読める公的な情報源として、JVN iPedia（IPAが運営する脆弱性対策情報データベース）とJPCERT/CCのWeekly Reportがある。直近2回の掲載日をKEVと並べる。

公表・掲載7月の2件（CVE-2026-15409/15410）9月の2件（CVE-2026-83548/83549）
SonicWallの公表7月14日[11]9月1日[4]
KEVの登録（是正期限）7月14日（7月17日）[9]9月2日（9月5日）[9]
JVN iPediaの登録7月17日[14]9月3日[15]
JPCERT/CC Weekly Report7月23日号[16]9月9日号[17]

JPCERT/CCはどちらもWeekly Reportの1項目として掲載し、2026年の注意喚起の一覧（9月9日更新）にSMA1000を扱う文書はない[18]。7月23日号はRapid7とVolexityの侵害調査の情報を関連文書に挙げたが[16]、9月9日号の概要は更新で解決するという説明で、侵害確認には触れていない[17]。9月の掲載は、KEVの期限（9月5日）の後だった。侵害確認の手順は、SonicWallの告知とCISAのKEV・ガイダンスを直接追う必要がある。

国内にもインターネットに公開された機器はある。BleepingComputerが掲載したShadowserverの地図では、外部から到達できるSMA1000のうち日本は12台と表示されている（修正済みの機器を含みうる）[3]。

まとめ

SMA1000を運用しているなら、まず版数が12.4.3系は03526以降、12.5.0系は02952以降かを確かめる。未更新なら、更新の前にログなどの証拠を保全し、更新後にSonicWallのテクニカルサポートと侵害の痕跡を確認する。痕跡が出たら、再イメージ化、全パスワードの変更、TOTPの再発行まで行う[4][8]。延命か刷新かは、この作業をKEV登録のたびに自前か契約で回せるか、保守契約がどれだけ残っているかで決める。直近の登録間隔は50日で、次の登録までに調査の手順と委託先を用意できるかが、延命を選べる条件になる。

よくある質問（FAQ）

Q. 自社の機器が今回の対象かどうか、どこを見ればよいか。
A. 機種（6210/7210/8200v、仮想版を含む）とファームウェアの版数を確認する。12.4.3-03453以前と12.5.0-02835以前が対象で、修正版はMySonicWallから入手できる[1][4]。SonicWallファイアウォールのSSL-VPN機能とSMA 100シリーズは影響を受けない[3]。

Q. パッチさえ当てれば安全と考えてよいか。
A. いいえ。BOD 26-04は米連邦機関に、完全掌握に至るKEV登録の脆弱性について、外部公開か自動化可能であれば3日以内の是正に加えてフォレンジック・トリアージを求めており、SMA1000の7月と9月の登録も対象である[7][9]。日本企業に拘束力はないが、SonicWallも更新後の侵害確認を求めている[4]。

Q. 今回の脆弱性を悪用されたか、自社で見分ける方法はあるか。
A. 9月2日時点で、SonicWallは攻撃の詳細や痕跡（IoC）の一覧を公開していなかった[3]。更新後にSonicWallのテクニカルサポートへ確認を依頼し、痕跡があれば再イメージ化、全パスワードの変更、TOTPの再発行を行う[4]。7月の2件については、Rapid7とVolexityがログ上の痕跡を公開している[5][11]。

出典

[1] Rapid7, “Critical SonicWall SMA1000 Vulnerabilities CVE-2026-83548, CVE-2026-83549 Exploited in the Wild”
[2] CISA, “CISA Adds Seven Known Exploited Vulnerabilities to Catalog” (2026-09-02)
[3] BleepingComputer, “SonicWall warns of actively exploited SMA1000 zero-day flaws” (2026-09-02)
[4] SonicWall, “Product Notice: SMA 1000 Series affected by Multiple Vulnerabilities (SNWLID-2026-0016)”
[5] Help Net Security, “SonicWall SMA zero-days were exploited weeks before disclosure” (2026-07-21)
[6] Help Net Security, “Exploited SonicWall zero-day patched (CVE-2025-40602)” (2025-12-17)
[7] CISA, “BOD 26-04: Prioritizing Security Updates Based on Risk”
[8] CISA, “BOD 26-04: Implementation Guidance for Prioritizing Security Updates Based on Risk”
[9] CISA, “Known Exploited Vulnerabilities Catalog”
[10] NVD, “CVE-2025-40602 Detail”
[11] Rapid7, “Rapid7 MDR Team Discovers New SonicWall SMA1000 Zero Days being Actively Exploited (CVE-2026-15409, CVE-2026-15410)”
[12] NVD, “CVE-2026-15410 Detail”
[13] NVD, “CVE-2025-23006 Detail”
[14] JVN iPedia, “JVNDB-2026-023879 SonicWALLのSMA6210 ファームウェア等の複数製品におけるサーバサイドのリクエストフォージェリの脆弱性”
[15] JVN iPedia, “JVNDB-2026-031609 SonicWALLのSMA6210 ファームウェア等の複数製品における複数の脆弱性”
[16] JPCERT/CC, “Weekly Report 2026-07-23号”
[17] JPCERT/CC, “Weekly Report 2026-09-09号”
[18] JPCERT/CC, “注意喚起”

IT運用・オブザーバビリティの最新記事8件