企業のリモートアクセスを中継する SonicWall SMA 1000 シリーズの2つの脆弱性、CVE-2026-15409（CVSS 10.0）と CVE-2026-15410（CVSS 7.2）が、修正前から攻撃に使われていた[1][5][6]。
PART 1解説
3行でわかる要点
- CVE-2026-15409：認証なしで、装置に意図しない宛先へリクエストを送らせられる SSRF[1][2][5]。
- CVE-2026-15410：管理コンソールのコードインジェクション。認証済みの管理者が、条件によって OS のコマンドを実行できる[5][6]。
- 組み合わせ：Rapid7 は、攻撃者が2つを連鎖させて装置を乗っ取り、認証情報や MFA の設定（TOTP のシード）を抜き取り、社内の Active Directory へ横移動したと報告した[4][5]。
前提：SMA 1000 は社内への玄関
テレワークでは、社外の PC から社内のシステムを使うためにリモートアクセスの装置を置きます。SonicWall SMA（Secure Mobile Access）1000 シリーズはその1つで、利用者はまず SMA にログインし、許可された範囲だけ社内に入れます。
この装置はインターネットに公開された社内への玄関であり、同時に社内の認証基盤（Active Directory）や多要素認証の設定ともつながっています。そのため装置そのものが乗っ取られると、玄関の鍵と名簿をまとめて渡すのに近い状態になります。
まず押さえる用語
| 用語 | ひとことで | もっと詳しく |
|---|---|---|
| CVE / CVSS | 脆弱性の世界共通の番号と、深刻度を 0.0〜10.0 で表す指標。 | IPA「共通脆弱性評価システムCVSS概説」 |
| SSRF | Server-Side Request Forgery。サーバーに、攻撃者の指定した宛先へリクエストを送らせる攻撃。外からは届かない内部に触れる足がかりになる。 | CWE-918（MITRE） |
| コードインジェクション | 入力した値がプログラムやコマンドの一部として実行されてしまう欠陥。 | — |
| TOTP のシード | 30 秒ごとに変わるワンタイムパスワードを作るための元の秘密の値。盗まれると MFA を再現される。 | — |
| Active Directory | Windows の社内ネットワークで、利用者やコンピューターの認証を一元管理する仕組み。 | — |
本来の仕組みと、どこが破られたか
SMA 1000 は、社外の利用者がログインしてから社内に入るための「玄関」です。CVE-2026-15409 は、その玄関でログインを経ずに装置を意図しない宛先へ通信させられる欠陥でした[1][5]。図1の赤い破線は、このとき迂回された「ログイン」です。
CVE-2026-15410 単体では管理者としての認証が必要ですが、Rapid7 は攻撃者が2つを連鎖させて装置を掌握したと評価しています[4][5]。一方 SonicWall 自身は、連鎖させていたかを明らかにしていません[6]。
攻撃の流れ
sequenceDiagram
autonumber
actor A as 攻撃者
participant S as SMA 1000
participant D as 社内のActive Directory
A->>S: 認証なしで細工した要求（CVE-2026-15409）
S->>S: 意図しない宛先へリクエスト（SSRF）
A->>S: 管理機能でOSコマンドを実行（CVE-2026-15410）
S->>S: 認証情報・セッション・TOTPのシードを抜き取る
S->>D: 装置から直接ADへ認証（横移動）
- Rapid7 は、少なくとも6月下旬からの標的型のゼロデイ攻撃を観測した[4][5]。
- CISA は2つの脆弱性を KEV に追加し、米連邦機関に7月17日までの対処を求めた[3][5]。
- 横移動は VPN を経由せず、装置の内部 IP アドレスから「kali」のような社員の端末らしくない名前で行われていた[5]。
なぜ「安全を守る機器」が繰り返し狙われるのか（考察）
- 1台を落とせば、社内ネットワーク全体へのトンネルが手に入る。攻撃者にとって費用対効果が高い。
- こうした機器はほぼ常時インターネットに露出している一方、社内のサーバーよりパッチが後回しになりがち。
- 抜き取られた TOTP のシードや認証情報は、パッチを当てても使われ続けうる。SonicWall も痕跡があれば装置の再構築やパスワード・TOTP の再設定を勧めている[5]。
- CVSS が低め（7.2）の脆弱性も、別の脆弱性と組み合わさると致命的になる。点数だけで優先度を決めない。
いま確認すること
- 【SMA 1000 を使っている】12.4.3-03453 / 12.5.0-02835 以降のホットフィックスを適用する[1][5]。
- 【SMA 1000 を使っている】extraweb_access.log の /__api__/login・/__api__/logout への 200 応答、/wsproxy への不審な 101 応答などの痕跡を確かめる[5]。
- 【SMA 1000 を使っている】痕跡があれば、装置の再構築、利用者と管理者のパスワード変更、TOTP の再設定を行う[5]。
- 【全員】VPN・ファイアウォールなど境界の機器のパッチ状況を棚卸しする。
- 【全員】自分のコードで、外部のリクエストを中継する処理や OS コマンドを呼ぶ処理を書いているなら、SSRF やコマンドインジェクションの観点で見直す。
出典・参考リンク
一次情報
報道・解説
- Rapid7 — SonicWall SMA1000 zero-days being actively exploited
- The Hacker News — Two SonicWall SMA 1000 Zero-Days Exploited
- BleepingComputer — SonicWall warns of SMA1000 flaws exploited in zero-day attacks
PART 2問題（情報処理安全確保支援士 試験形式）
問1 午前II形式（4択）
SonicWall SMA 1000 の CVE-2026-15409 の種類として、最も適切なものはどれか。
- ア SQL インジェクション
- イ サーバーサイドリクエストフォージェリ（SSRF）
- ウ クロスサイトスクリプティング（XSS）
- エ バッファオーバーフロー
解答・解説を表示
解答：イ
CVE-2026-15409 は、認証なしで装置に意図しない宛先へリクエストを送らせられる SSRF。OS コマンドの実行は、もう一つの CVE-2026-15410（認証が必要なコードインジェクション）による。ア・ウ・エはいずれも今回報告された種類ではない。
問2 午後形式（記述）
A社は、テレワーク用に SonicWall SMA 1000 を運用している。CVE-2026-15409 と CVE-2026-15410 の悪用が確認されたことを受けて、A社はホットフィックスを適用した。そのうえでログを調べたところ、①パッチ適用前の期間に、/__api__/login への不審な 200 応答が記録されていた。
設問 本文中の下線①を踏まえて、A社がパッチ適用に加えて実施すべきことを50字以内で述べよ。
解答・解説を表示
解答例：装置を再構築し、利用者と管理者のパスワード変更と TOTP の再設定を行う（37字）
痕跡がある場合、装置はすでに掌握され、認証情報や TOTP のシードが抜き取られている恐れがある。SonicWall も再構築とパスワード・TOTP の再設定を勧めている。「パッチを再適用する」は同じ対策の繰り返しで、抜き取られた情報への対処にならない。