SonicWall SMA1000にCVSS 10.0のゼロデイ、悪用済みでCISAがKEVに追加

SonicWall warns of SMA1000 flaws exploited in zero-day attacks, patch now

元記事は一次情報へのリンクです元記事を読む

5行でつかむ要点

SonicWallはSMA1000シリーズの2件の脆弱性が実際の攻撃で悪用されていると警告した。

CVE-2026-15409はCVSS 10.0の未認証SSRFで、Workplaceインターフェース経由で悪用可能。

CVE-2026-15410は認証後のコード実行だが、両者を組み合わせた攻撃も懸念されている。

SMA1000シリーズでリモートアクセス基盤を構築している企業のネットワーク管理者は、SSL-VPNやSMA 100系との違いを踏まえて対象機種かどうかをまず確認したい。

パッチの適用手順や暫定回避策は製品ごとに異なるため、SonicWall公式のアドバイザリ番号を突き合わせて確認する必要がある。

脆弱性の詳細

CVE-2026-15409はCVSS 10.0、SMA1000のWorkplaceインターフェースにおける未認証のSSRF(サーバーサイドリクエストフォージェリ)で、ログインなしにアプライアンスへ意図しないリクエストを行わせることができる。CVE-2026-15410はCVSS 7.2の認証後コード実行で、管理者権限があればOSコマンドを任意実行できる。対象はSMA1000シリーズのモデル6210・7210・8200v、SSL-VPNやSMA 100シリーズは影響を受けない。

リモートアクセス機器が狙われ続ける理由

社外から社内ネットワークへ安全に接続するための機器は、その性質上インターネットから直接到達可能な状態で運用されることが多く、突破されれば社内ネットワークへの侵入口になる。VPNやリモートアクセスゲートウェイは近年、IvantiやFortinet、Citrixの製品でも未認証の重大脆弱性が相次いで見つかっており、SonicWallの今回のケースもその系列に連なる。

過去の類似パターンとの違い

過去のリモートアクセス機器の事例では、単一の脆弱性が悪用の起点になることが多かったが、今回はCVSS 10.0の未認証SSRFとCVSS 7.2の認証後コード実行が同時に見つかっている点が異なる。SonicWallは両者を連鎖させた悪用を明言していないが、単体でも危険な脆弱性が組み合わされば被害はさらに深刻化しうる。

対応の緊急性

SonicWall PSIRTは実際の悪用事例を複数確認しており、CISAは両CVEをKnown Exploited Vulnerabilitiesカタログに追加、連邦機関には2026年7月17日までのパッチ適用が義務付けられた。該当モデルを運用する組織は、期限を待たず優先度を上げて対応すべき状況だ。モデルごとの対応状況はBleepingComputerの記事(https://www.bleepingcomputer.com/news/security/sonicwall-warns-of-sma1000-flaws-exploited-in-zero-day-attacks-patch-now/)に整理されている。