SonicWall SMA1000の脆弱性がランサムウェアに悪用 — CISAが「既知のランサムウェア使用」と分類、未更新のVPNゲートウェイは即時更新を

米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、SonicWall製のリモートアクセスゲートウェイ「SMA1000」の2つの脆弱性を、「ランサムウェアキャンペーンでの使用が確認されている」と分類した。CISAの既知悪用脆弱性カタログ（KEV）を2026年8月11日に確認したところ、両CVEとも knownRansomwareCampaignUse（ランサムウェアキャンペーンでの使用）が「Known」に更新されている。

2件は7月14日にKEVへ追加されたが、追加時点ではランサムウェアとの関連は「不明（Unknown）」とされていた。7月下旬から8月上旬のカタログ更新で「確認されている」に変更されたもので、攻撃者がこの脆弱性を、単なる標的型侵入だけでなくランサムウェアの展開にも使っていることを示す。

SMA1000とは何か

SMA1000は、企業が社内システムへリモートから安全に接続するための**リモートアクセスゲートウェイ（SSL-VPN機器）**だ。大企業や政府機関、MSP（管理サービス事業者）が、社内アプリケーションやネットワークへのVPNアクセスを提供するために使う。

SonicWallは7月14日付のセキュリティアドバイザリ（SNWLID-2026-0008）で、2つの脆弱性が実地で悪用されているとして緊急の注意を呼びかけ、修正版（ホットフィックス）を公開している。

脆弱性の詳細

CVE	問題の内容	深刻度（CVSS v3.1）	攻撃条件
CVE-2026-15409	サーバーサイドリクエストフォージェリ（SSRF）。Work Placeインターフェースに不備があり、機器に意図しない場所へのリクエストを送らせられる	10.0（クリティカル）	認証なし・遠隔から
CVE-2026-15410	コードインジェクション。管理コンソール（AMC）の入力検証が不十分で、管理者として任意のOSコマンドを実行できる	7.2（高）	管理者権限が必要

1つ目のCVE-2026-15409は、認証されていない遠隔の攻撃者が悪用できる点が特に危険だ。2つ目のCVE-2026-15410は管理者権限が必要だが、実際の攻撃では1つ目の脆弱性などで管理者相当の操作を獲得してから使われている。

実地悪用の実態 — 6月22日からゼロデイ攻撃

インシデントレスポンス企業のVolexityは7月17日、この2件を使った攻撃の分析結果を公開した。調査の結果、攻撃グループ「UTA0533」が6月22日にはすでに悪用を開始していたことが確認されている。SonicWallが公表する前からのゼロデイ攻撃だったことになる。

Volexityが明らかにした攻撃の流れは次のとおりだ。

1. 認証バイパス＋SSRF（CVE-2026-15409）: /wsproxy というエンドポイントに、特定のユーザーエージェント（SMA Connect Agent）と bmID が「-3389」で始まる値を付けたリクエストを送ると、認証なしで機器内部のlocalhost限定サービスへのWebSocketトンネルを張れる
2. 制御サービスへの到達: トンネル経由で、管理用制御サービス（127.0.0.1:8188）に外部からアクセスできる。Basic認証のパスワードは機器の識別子（product_uuid）から導出できる仕様で、実際の攻撃では別の脆弱性を使ってこの値を読み取っていた
3. root権限の奪取（CVE-2026-15410）: 制御サービスの sysCtrl.execRemoveHotfix に**パストラバーサル（パスをさかのぼる指定）**を組み合わせ、任意のスクリプトをroot権限で実行させる
4. 専用マルウェアの展開: 奪取したroot権限で、SMA1000専用に作られたマルウェアを仕込む

展開されたマルウェアは、いずれもこのアプライアンス専用に作られたものだ。

• KNUCKLEBALL — 感染を広げるドロッパー（Python製の deploy_new.py）。起動スクリプト（init.d）に追加され、次回起動時にも実行される
• Sou5 — 改変されたプロキシツール（suo5）。機器経由で内部ネットワークへトンネルを張る
• ORANGETAIL — カスタムのJava製ウェブシェル。外部から /__api__/login・/__api__/logout という偽装エンドポイント経由で操作できる
• ROOTRUN — 権限昇格ユーティリティ（xzfind）。root権限で任意コマンドを実行する

さらに、侵害後の活動として、LDAP（ポート389）の通信を傍受してユーザー名とパスワードを窃取する動きも確認されている。攻撃元は200以上のIPアドレスにわたり、一部はExpressVPNやMullvad VPNを経由していた。

ランサムウェアとの関連

KEVカタログの分類変更は、SonicWall自身のアドバイザリにはまだ反映されていないとされる（8月11日時点）。CISAが「ランサムウェアキャンペーンでの使用」を確認したことで、未更新のSMA1000はランサムウェア攻撃に直面する可能性がある。

影響を受けるバージョンと修正版

影響を受けるのは、SMA1000シリーズの6210・7210・8200vの各モデルで、以下のプラットフォームホットフィックス版を実行している機器だ。

影響を受ける版（例）	修正版
12.4.3-03245 / 12.4.3-03387 / 12.4.3-03434	12.4.3-03453 以降
12.5.0-02283 / 12.5.0-02624 / 12.5.0-02800	12.5.0-02835 以降

なお、SonicWallファイアウォール製品のSSL-VPN機能と、SMA 100シリーズは今回の影響対象外とされている。

侵害の兆候（IoC）

Volexityは、次のようなログ記録が残っている場合に侵害の可能性が高いとしている。

• アクセスログ（/var/log/aventail/extraweb_access.log）に、/wsproxy?bmID=-3389...&host=0.0.0.0&port=1050（または8188）のようなアクセスがある。bmID が「-3389」で始まり、ステータスが101（WebSocketへのプロトコル切り替え）のもの
• /__api__/login・/__api__/logout へのPOSTリクエストがある
• 制御サービスのログ（ctrl-service.log）に、../../../../../tmp/... のようなパストラバーサルを含むコマンド実行が記録されている

Volexityは、KNUCKLEBALL等のマルウェアを検出するYARAシグネチャをGitHubで公開している。

今何をすべきか

1. バージョンの確認と即時更新 — SMA1000を運用している組織は、実行中のバージョンを確認し、12.4.3-03453 / 12.5.0-02835以降へ更新する。修正版は2026年7月14日に公開済みで、更新の適用が最も確実な対策となる
2. ログの監査 — 上記のIoCがログに残っていないか確認する。特に管理対象外の機器や、更新が滞っていた機器は重点的に
3. 管理面の露出を減らす — 管理コンソールや制御サービスをインターネットから直接アクセスできる状態にしない。アクセス元を制限する
4. 侵害が疑われる場合 — アプライアンスのフォレンジック調査（VolexityのYARAシグネチャを活用）に加え、LDAP等の認証情報が傍受されている可能性を前提に、パスワードのローテーションと社内ネットワーク全体の調査を実施する

リモートアクセス機器は「境界の入口」であり、一度侵害されると内部ネットワークへの通り道になる。今回はランサムウェアグループの使用まで確認された。未更新の機器があるか、今すぐ棚卸しを。

出典: SonicWall PSIRT — SNWLID-2026-0008 / NVD — CVE-2026-15409・CVE-2026-15410 / CISA — Known Exploited Vulnerabilities Catalog / Volexity — Proxying to Compromise: SonicWall SMA 0-day Exploitation