SonicWall SMA1000のCVE-2026-15409を突く大規模悪用 — 英自治体など250標的からAD認証情報を窃取、5ドメインでDCSyncを確認とHunt.ioが報告

脅威インテリジェンス企業のHunt.ioは2026年9月10日（米国時間）、SonicWall SMA1000の脆弱性CVE-2026-15409を悪用した大規模キャンペーンの分析を公開した。攻撃者はインターネット公開の同機器250台を標的に特定し、設定ファイルからActive Directory（AD）の認証情報を窃取。少なくとも9つのAD環境から認証情報を抜き取り、5つのドメインではDCSyncによるドメイン全体の複製に成功したという。英自治体が7月に公表した侵害とも関連すると評価している。

Hunt.ioは公表に先立ち、英国家サイバーセキュリティセンター（NCSC）など関係国のCERTに通知し、被害組織への連絡が行われるようにしたとしている。

英自治体への攻撃との関連

発端は、英キングスリン・ウェストノーフォーク区議会が2026年7月17日に行政サービスの侵害を検知した事案だ（英BBCも報道）。Hunt.ioは同日、攻撃者が運用中の公開ディレクトリを自社のAttackCapture機能で取得。記録されたスキャン・悪用時刻や手法から、中程度の確度（moderate confidence）で同一事案と評価している。

CVE-2026-15409は、SMA1000のWorkPlaceインターフェースに存在する未認証のサーバー側リクエストフォージェリ（SSRF）の脆弱性で、CVSS 10.0と評価されている。SonicWallは7月14日に開示し、野外での悪用も報告していた。Rapid7が7月15日に技術分析と概念実証（PoC）を公開すると、攻撃者はわずか2日後の7月16日には改変版のツールで大規模スキャンを開始していた。公開された研究成果が短期間で実攻撃に転用された事例だ。

攻撃の流れ — VPN機器を内部侵入の足がかりに

Hunt.ioの分析によれば、攻撃は次の段階で進んだ。

1. 標的の選定 — Shodan由来とみられる標的リスト（約2,197件、1,517ホスト）を使い、50スレッド並列のスキャナーでCVE-2026-15409に脆弱な機器を特定。結果として112の固有エンドポイントが有効と判定された。攻撃者のスクリプトには中国語のコメントが含まれていたが、Hunt.ioは帰属の根拠には不十分だと明記している。

2. 初期侵入 — 公開されたWorkPlaceのWebSocketプロキシ（/wsproxy）経由で、機器内部だけに公開されたErlang分散ノード（[email protected]、1050番ポート）に到達。ツールにハードコードされたErlangクッキーで認証し、RPC経由のos:cmd()でcouchdb権限のコマンド実行を確立した。

3. LDAP認証情報の窃取 — 機器上の設定ファイルpolicy_file.xmlを取得し、AD連携用のバインド認証情報を抽出。パスワードは暗号化されていたが、攻撃者は自前の復号スクリプトで一括復号した。250標的中168台から設定が得られ、**534件の設定レコード（160の固有ドメイン名、255の内部LDAPエンドポイント）**が漏れた。

4. Impacketによる内部展開 — 攻撃者はLinux版のImpacketツール群（secretsdump）を侵害したSonicWall機器の/tmpに直接配置し、盗んだLDAP認証情報で内部のWindowsサーバーからSAM・LSAシークレットを抜き取った。EDRが導入されたPC・サーバーと違い、VPN機器内部のOSは監視の目が届きにくく、検知回避に悪用されたとHunt.ioは指摘する。

5. DCSyncによる全複製 — ドメインコントローラーのマシンアカウントのハッシュ（pass-the-hash）を使い、ディレクトリ複製プロトコル（DRSUAPI）経由でドメイン全体の認証情報を複製。5つのAD環境・7台のドメインコントローラで完全なDCSyncが成立した。

被害の規模と標的の特徴

段階	確認された規模
悪用可能と特定された標的	250
LDAP設定を回収できた機器	168（設定534件）
SAM・LSA窃取が確認されたAD環境	9以上
DCSyncが成立したADドメイン	5（DC 7台）

認証情報の窃取が確認された機器はフランス、インド、イタリア、米国のインフラに分散していた。より広い標的リストには英国、カナダ、ドイツ、スウェーデン、ポーランド、ハンガリー、韓国、香港などのゲートウェイが含まれ、地方自治体・法執行機関、医療、金融、大学、製造、ITサービスと業種も幅広い。Hunt.ioは、特定業種狙いではなく脆弱な機器の有無で選ぶ日和見的・技術駆動型の標的選定だったと評価している。報告書に日本への直接の言及はない。

対応の要点

自組織でSMA1000を利用している場合は、SonicWallが7月14日に公開した案内に沿って修正の適用状況を確認してほしい。特にインターネットに公開された機器で、LDAP連携設定（policy_file.xml相当）を持つものは、認証情報の漏えいを前提とした調査が必要になる。VPN・ファイアウォール機器の内部OSはEDRの可視性が及びにくいという指摘も重く、機器自体のログ監視と速やかな修正が重要だ。

出典

• Hunt.io, “UK Council Attack Linked to SonicWall SMA 1000 Campaign” (2026年9月10日): https://hunt.io/blog/sonicwall-sma1000-uk-council-attack