SonicWallは2026年9月2日、SMA1000セキュアリモートアクセスデバイスにおける2件のゼロデイ脆弱性が活発に悪用されていると警告し、攻撃者が両方を組み合わせて、影響を受けるデバイス上でリモートコマンド実行を可能にする攻撃を行っていることを確認した。同社は顧客に対し、最新の緊急修正版をできるだけ早くインストールするよう求めた。
1つ目の脆弱性はCVE-2026-83548で、Appliance WorkPlaceインターフェースに存在し、最高深刻度のコマンドインジェクションの欠陥に分類される。この問題にはサーバーサイドリクエストフォージェリ（SSRF）の弱点が関連しており、悪用チェーンの一部としてデバイス上でのコマンド実行に到達するために利用できる。
2つ目の脆弱性CVE-2026-83549は、Appliance Management Consoleに存在する。管理者権限を持つ攻撃者は、この脆弱性を悪用して、更新されていないデバイス上で任意のオペレーティングシステムコマンドを実行できる。SonicWallの警告によると、現在進行中の悪用では、各脆弱性を別々の経路として扱うのではなく、両方を組み合わせている。
影響を受けるデバイスと対応措置
仮想デバイスか物理デバイスかを問わず、SMA1000 6210、SMA1000 7210、SMA1000 8200vの各モデルが両脆弱性の影響を受ける。同社は、SonicWallファイアウォール上で稼働するSSL-VPNサービス、およびSMA 100 Series製品は、警告で示された影響範囲に含まれないと説明した。
緊急修正版のインストールに加え、SonicWallはシステム管理者に対し、デバイスイメージの再作成、ユーザーおよび管理者のパスワード変更、侵害の兆候が見られた場合のTOTPベースの多要素認証トークンの再設定を推奨した。ただし同社は、現在進行中の攻撃の詳細や、調査中に発見した侵害指標の一覧をまだ公表していない。
なぜこのニュースが重要なのか？
SMA1000デバイスは、大企業、政府機関、重要インフラ組織が利用するリモートアクセス機能をホストしているため、侵害の影響は単一のデバイスを超える可能性がある。報道が引用したShadowserverのデータによると、インターネット上に公開されているSMA1000デバイスは400台を超えており、その一部はすでに修正プログラムを適用済みである可能性がある。
実際には、侵害指標が存在する場合、修正プログラムをインストールするだけでは不十分である。SonicWallの推奨事項は、デバイス、アカウント、認証トークンを、侵害された可能性のある要素として扱う必要があることを示している。同社から公式の侵害指標一覧が提供されていないため、対応チームがインシデントを確認する能力は比較的限られたままである。
繰り返されるセキュリティ上の背景
今回のインシデントは、SMA1000における別の2件の脆弱性、すなわちCVE-2026-15409およびCVE-2026-15410が、2026年7月に悪用された後に発生した。数週間続いた攻撃では、影響を受けたVPNデバイスに専用のマルウェアがインストールされたことが確認されている。翌月、米国サイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は、ランサムウェアグループが両脆弱性の悪用を実際に開始したことを確認した。
SonicWallは12月にも、SMA1000に存在する別の脆弱性CVE-2025-40602について警告しており、この脆弱性は他の脆弱性と組み合わせてroot権限の取得に利用された。悪用が繰り返されていることは、対象デバイスの管理者が新たな警告の発表を待つだけでなく、パッチ適用状況とアクセスログを確認する必要があることを意味する。