脆弱性 / VULNERABILITIES / ZERO-DAY
SonicWallがSMA1000のゼロデイ2件を警告 — CVSS 10.0のSSRFとRCEを連鎖、400台超が依然露出
SonicWallは2026年9月1日、SMA1000シリーズで2件のゼロデイ脆弱性の悪用を確認したと公表した。WorkPlaceの事前認証SSRF（CVE-2026-83548、CVSS 10.0）と管理コンソールの事後認証OSコマンドインジェクション（CVE-2026-83549）を連鎖させ遠隔から任意コマンドを実行される恐れがある。対象は6210/7210/8200vで、ホットフィックスへの即時更新を呼びかけている。
SonicWallは2026年9月1日、リモートアクセス製品「SMA1000」シリーズに影響する2件の脆弱性について、既に悪用が確認されたとしてアドバイザリ「SNWLID-2026-0016」を公開した。同社は顧客に対し、ホットフィックスへの即時更新を強く推奨している。
SonicWallのPSIRTが公開したアドバイザリによると、2件はそれぞれ異なるコンポーネントに存在し、連鎖させることで未認証の攻撃者が遠隔から任意のOSコマンドを実行できる。
2件の脆弱性の詳細
| CVE | 概要 | 影響コンポーネント | 認証 | CVSS v3 |
|---|---|---|---|---|
| CVE-2026-83548 | 事前認証のサーバーサイドリクエストフォージェリ（SSRF） — 意図しないフォワードプロキシ経由で未認証アクセス | SMA1000 Appliance WorkPlace インターフェース | 不要 | 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H） |
| CVE-2026-83549 | 事後認証のOSコマンドインジェクション — 管理者権限で任意のOSコマンド実行 | SMA1000 Appliance Management Console（AMC） | 管理者として認証済み | 7.8（AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H） |
SonicWallは、CWEとしてCVE-2026-83548をCWE-918（SSRF）およびCWE-441（意図しないプロキシ/中間者）、CVE-2026-83549をCWE-78（OSコマンドインジェクション）に分類している。
同社は「2件の脆弱性が連鎖して悪用されている事例を調査で確認した」と明記し、「顧客はできる限り速やかにホットフィックスへ更新してほしい」と呼びかけている。
影響を受ける製品とバージョン
SonicWallによると、影響を受けるのは以下のSMA1000モデルだ。
- SMA1000 6210 / 7210 / 8200v
- 12.4.3-03453（platform-hotfix）以前
- 12.5.0-02835（platform-hotfix）以前
最新版のplatform-hotfixは、SonicWallの顧客ポータル「mysonicwall.com」で配布されている。なお、SonicWall製ファイアウォール上で動作するSSL-VPNや、SMA 100シリーズは今回の脆弱性の影響を受けないと同社は説明している。
400台超が依然インターネットに露出
インターネット上の露出状況を観測する非営利団体Shadowserverは、現在も400台超のSMA1000がインターネットから到達可能な状態にあると報告している。SMA1000は大企業や政府、重要インフラで安全なリモートアクセス基盤として利用されることが多く、脆弱なまま放置された場合の影響は大きい。
SonicWallは、侵害の兆候（Indicators of Compromise）が確認された場合の対応として、以下を推奨している。
- アプライアンス（仮想/物理）の再イメージ化
- 全ユーザーおよび管理者パスワードの変更
- TOTP（時間ベースのワンタイムパスワード）トークンのリセット
同社は現時点では、進行中の攻撃の詳細や具体的なIOCリストは公開していない。SonicWallは「今後も調査を継続し、必要に応じて情報を更新する」としており、顧客にアドバイザリの定期確認を求めている。
過去にもSMA1000のゼロデイが悪用
SMA1000を巡っては、2025年末から2026年にかけてゼロデイの悪用が相次いでいる。2026年7月には別の2件（CVE-2026-15409、CVE-2026-15410）が数週間にわたり悪用されカスタムマルウェアが設置されたほか、2025年12月のCVE-2025-40602も管理者権限取得に悪用されたと同社は説明している。SonicWallは9月の設定ファイル漏えい事案では国家支援型アクターの関与にも言及しており、同製品を狙う攻撃の継続性がうかがえる。
組織は、SMA1000を利用しているかどうかの棚卸しと、該当する場合は速やかなホットフィックス適用を優先すべきだ。露出しているアプライアンスを外部から確認できる場合は、Shadowserverのような外部スキャン結果も参考に、更新後の再起動とログ確認を併せて実施することが望ましい。
出典
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。