SonicWall SMA 1000に悪用済み脆弱性、侵害痕跡があれば再構築も必要

SonicWallは2026年9月1日、Secure Mobile Access（SMA）1000シリーズに影響するCVE-2026-83548とCVE-2026-83549が実環境で悪用されていると、同日付の製品通知 で公表した。影響版を運用する組織には、修正版への更新に加えて、SonicWall Technical Supportの支援を受けた侵害痕跡（IoC）の確認が求められている。

NHS Englandの2026年9月2日付警告 が示す対象は、SMA 1000の6210、7210、8200vで、12.4.3-03453以前または12.5.0-02835以前のplatform-hotfixを実行する環境だ。修正版は12.4.3-03526以降または12.5.0-02952以降で、IoCが検出された場合は、物理機器の再イメージ化または仮想アプライアンスの再展開に加え、利用者・管理者パスワードの変更とTOTPトークンのリセットが必要になる。

2件は異なる攻撃段階に位置する

CVE-2026-83548は、SMA 1000 Appliance Work Placeインターフェースの意図しない代替アクセス経路に起因する、認証前のサーバーサイド・リクエスト・フォージェリ（SSRF）脆弱性だ。認証されていない遠隔の攻撃者が機密性の高い機能へ不正にアクセスし、許可されていない操作を実行できる可能性がある。CVSS v3.1の基本値は10.0で、深刻度はCriticalと評価されている。

CVE-2026-83549は、Appliance Management Console（AMC）に存在する認証後のOSコマンドインジェクション脆弱性で、CVSS v3.1の基本値は7.8、深刻度はHighだ。特定の条件下で、管理者として認証された遠隔の攻撃者が任意のOSコマンドを実行し、リモートコード実行に至る可能性がある。

Center for Internet Securityの2026年9月2日付勧告 は、2件を連鎖させた場合、リモートコード実行からシステム全体の侵害に至り得ると評価している。一方、公表情報が確認しているのは両脆弱性の実悪用であり、実際の攻撃で常に連鎖されたことや、攻撃者、標的組織、侵害件数までは明らかにされていない。

対象版と対象外製品を切り分ける

今回の対応では、名称が似ているSMA 100シリーズや、SonicWallファイアウォール上で動作するSSL-VPNと混同しないことが重要だ。対象はSMA 1000シリーズの特定モデルとplatform-hotfixに限られ、他のSonicWall製品で報告された脆弱性とは別の問題として扱われている。

• 影響を受ける製品：SMA 1000の6210、7210、8200v。8200vはすべてのハイパーバイザー上の環境が含まれる。
• 影響を受ける版：12.4.3-03453以前、または12.5.0-02835以前のplatform-hotfix。
• 修正版：12.4系は12.4.3-03526以降、12.5系は12.5.0-02952以降。
• 今回の対象外：SMA 100シリーズと、SonicWallファイアウォール上で動作するSSL-VPN。

運用担当者は製品ファミリー名だけで判断せず、管理台帳と実環境のモデル、ファームウェア系統、platform-hotfix番号を照合する必要がある。8200vを利用している場合は、ネットワーク機器の台帳だけでなく、仮想基盤側のインベントリーも確認対象となる。

更新、IoC確認、侵害後の復旧を分ける

公表された対応は、すべての影響環境で行う更新とIoC確認、侵害が判明した環境だけで行う復旧に分かれる。hotfixを適用しただけでは、更新前に成立した侵害の有無を判断できないため、バージョン確認と侵害調査を別工程として管理する必要がある。

1. 修正版を適用する：12.4系は12.4.3-03526以降、12.5系は12.5.0-02952以降へ更新する。作業前にモデルと現在のplatform-hotfix番号を記録し、更新後は実際に稼働している版を再確認する。
2. 侵害痕跡を確認する：SonicWall Technical Supportへ連絡し、IoC確認の支援を受ける。公開通知には個別IoCの一覧が示されていないため、独自の限定的な確認だけで侵害なしと断定せず、ベンダーが示す調査範囲に従う。
3. IoCがあれば環境を再構築する：6210や7210などの物理アプライアンスは再イメージ化し、8200vなどの仮想アプライアンスは再展開する。その後、すべての利用者パスワードと管理者パスワードを変更し、TOTPトークンをリセットする。

この区分では、更新とIoC確認は影響版を使用する物理・仮想の全環境が対象となる。再イメージ化または再展開、認証情報の変更、TOTP再設定はIoCが検出された場合の条件付き対応であり、機器と認証情報の双方を信頼できる状態へ戻すための一連の復旧措置として扱われている。

攻撃の規模と具体的なIoCは未公表

確認されているのは、2件の脆弱性が実環境で悪用されていること、影響するモデルと版、修正版、侵害判明時に必要な復旧措置までだ。攻撃活動の規模、攻撃者の属性、標的となった組織、侵害件数、個別のIoCは公開されていない。

したがって、対象環境の対応完了を判断する基準は、hotfixの適用だけではない。影響版が残っていないこと、SonicWallの支援を受けてIoCを確認したこと、侵害が判明した環境ではアプライアンスの再構築と認証情報・TOTPの再設定まで終えたことを、それぞれ確認する必要がある。