SonicWallは、リモートアクセス製品「SMA 1000」シリーズの2件の脆弱性が実環境で積極的に悪用されていると公表しました。
対象はCVE-2026-15409とCVE-2026-15410で、SonicWallが2026年7月16日に公開したSMA 1000シリーズの製品通知には、修正版と侵害の痕跡も示されています。
影響を受ける組織は更新だけで対応を終えず、侵害調査と、必要に応じた再構築や認証情報の更新までを一つの対応計画として進める必要があります。
悪用が確認された2件の脆弱性
CVE-2026-15409は未認証で到達し得るSSRF
CVE-2026-15409は、SMA1000 ApplianceのWork Placeインターフェースにあるサーバーサイドリクエストフォージェリ（SSRF）の脆弱性です。
NVDのCVE-2026-15409記録によると、遠隔の未認証攻撃者が、装置から意図しない宛先へのリクエストを発生させる可能性があります。
SonicWallはCVSS v3.1の基本値を10.0と評価しており、米国CISAもこの脆弱性を既知の悪用された脆弱性カタログ（KEV）に追加しています。
CVE-2026-15410は管理画面のコードインジェクション
CVE-2026-15410は、SMA1000 Appliance Management Console（AMC）にあるコードインジェクションの脆弱性です。
NVDのCVE-2026-15410記録では、管理者として認証済みの遠隔攻撃者が、特定の条件下で任意のOSコマンドを実行できる可能性があると説明されています。
SonicWallのCVSS v3.1評価は7.2ですが、CISAはこの脆弱性もKEVに登録しています。
2件は攻撃の前提条件が異なるため、一つの攻撃手順として結び付けて解釈することはできません。
一方で、実際の悪用が確認されている以上、CVSSの数値だけを見て片方の対応を後回しにする判断は避けるべきです。
影響を受ける製品と修正版
影響を受けるのは、SMA 1000の6210、7210、8200v、CMSで、仮想版はすべてのハイパーバイザーが対象です。
| 系統 | 影響を受ける版 | 修正版 |
|---|---|---|
| 12.4.3 | 12.4.3-03245、12.4.3-03387、12.4.3-03434 | 12.4.3-03453以降 |
| 12.5.0 | 12.5.0-02283、12.5.0-02624、12.5.0-02800 | 12.5.0-02835以降 |
運用中の版が表にない場合も、製品通知だけから安全と決め付けず、SonicWallのサポート情報で保守状態と適用可能な最新版を確認してください。
管理者が進める対応の順序
- 対象装置を特定する：SMA1000のモデル、ファームウェア版、インターネットからの到達性、管理画面の公開範囲を資産台帳と実機で照合します。
- 修正版へ更新する：12.4.3系は12.4.3-03453以降、12.5.0系は12.5.0-02835以降のホットフィックスへ更新します。
- 証拠を保全して侵害を調べる：ログや設定を不用意に消去せず、SonicWallが示した侵害の痕跡を手掛かりにフォレンジック調査を行います。
- 侵害の痕跡があれば再構築する：物理装置は再イメージ化し、仮想装置は再展開したうえで、利用者と管理者のパスワードを変更し、TOTPトークンをリセットします。
- 復旧後の監視を強化する：再公開後も認証、管理操作、外向き通信を監視し、同じ資格情報や不審な通信が残っていないかを確認します。
更新は今後の悪用を防ぐために必要ですが、更新前に侵入されていなかったことまでは証明しません。
そのため、インターネットから到達可能だった装置では、修正と侵害調査を別々の作業として扱う必要があります。
公式通知に示された侵害の痕跡
SonicWallは、extraweb_access.logに記録された/__api__/loginと/__api__/logoutへのHTTP 200応答、疑わしいhostパラメーターを伴う/wsproxyへのHTTP 101応答などを確認項目として挙げています。
ctrl-service.logでは、パストラバーサルを含む「ホットフィックス除去」の記録が調査対象です。
/var/lib/unit/conf.jsonに/__api__/loginや/__api__/logoutのルートが追加されていないかも確認します。
これらは調査の手掛かりであり、一つの記録だけで侵害の全体像や攻撃主体を確定できるものではありません。
見つかった場合は装置の再構築へ進み、影響範囲、侵入期間、利用された認証情報、装置から到達可能だった内部資産を調べる必要があります。
設定バックアップを戻す前の注意
SonicWallは、再構築に使う設定バックアップとして、2025年12月のホットフィックス（12.4.3-03245および12.5.0-02283）より前の版で取得したものを使うよう案内しています。
それ以前のバックアップがない場合は、手元の設定が改ざんされていないかを慎重に監査することが推奨されています。
復旧速度だけを優先して未確認の設定を戻すと、不正な変更まで再導入するおそれがあるため、バックアップの取得時期と完全性を復旧手順に組み込むべきです。
編集部の視点
今回の通知には修正版だけでなく、具体的なログと復旧条件まで示されており、管理者が調査の初動を組み立てやすい点は前向きに評価できます。
リモートアクセス装置は社内ネットワークへの入口であるため、単なる通信機器ではなく、侵害を前提に監視と証拠保全を設計するサーバーとして扱う姿勢が求められます。
資産台帳、更新手順、ログ保全、認証情報の更新、設定バックアップの検証を平時から一続きの手順にしておけば、次の緊急更新でも判断の遅れを減らせます。
よくある質問
SonicWallの全製品が対象ですか
いいえ。
今回の通知はSMA 1000シリーズの特定版を対象としており、SonicWallは他製品で報告された脆弱性とは無関係だと説明しています。
修正版を適用すれば調査は不要ですか
不要にはなりません。
SonicWallは影響を受ける装置の更新に加え、侵害の痕跡を確認するためのフォレンジック分析を求めています。
CVSS 7.2のCVE-2026-15410は後回しにできますか
CVSSだけを理由に後回しにするのは適切ではありません。
この脆弱性は管理者認証を前提としますが、実際の悪用が確認され、CISAのKEVにも登録されています。