何が起きたか
2026年10月6日、SonicWall はリモートアクセスゲートウェイ SMA1000 の4件の脆弱性を修正しました。最も深刻な CVE-2026-102255 は CVSS 10.0 で、ユーザーがログインするポータル Appliance Work Place における 認証不要の SSRF(サーバーサイドリクエストフォージェリ) です。当時 SonicWall は悪用の証拠はないとしていました。
3日後の 10月9日、Previdian 創業者 Ryan Dewhurst 氏は BleepingComputer に、同社のハニーポットがこの脆弱性に一致する 悪用の試み を検知したと語りました。ctipilot によると、9〜10日に 2つのアドレスから135回 の試行がありました。
状況: 攻撃の試みは確認されていますが、10月10日時点で 侵害は確認されていません。CISA は KEV に未追加でした。
攻撃の仕組み
SSRF により、攻撃者は機器自体を使って外部から届かないはずの内部サービスにアクセスします。観測された通信は Extraweb インターフェースに OPTIONS を送り、内部の CouchDB(127.0.0.1:5984) の _rewrite を admin:admin で呼び出そうとするものでした。Suzu Labs の CTO Denis Calderone 氏は SC Media に、9月の攻撃チェーン用の 公開 Metasploit モジュール で CouchDB へのアクセスを root 権限のコード実行 に変えられると指摘しています。
2026年で3回目
Work Place での CVSS 10 の認証前 SSRF は9か月で3件目です。7月(CVE-2026-15409/15410、マルウェア設置、ランサムウェアとの関連)、9月(CVE-2026-83548/83549 の連鎖で RCE)、そして10月。Calderone 氏によると 9月の修正版ファームウェアこそが脆弱 で、9月に更新した機器は再び危険にさらされています。
影響を受ける機器
SMA 6210、7210、8200v。SMA 100 シリーズや SonicWall ファイアウォールの SSL-VPN は 対象外。Shadowserver は 400台以上 の公開 SMA1000 を追跡しています。
今すぐやること
- 12.4.3-03670 または 12.5.0-03082 に更新(回避策なし)
- メンテナンス時間を確保: 再起動で全 VPN セッションが切れるため、VPN 経由で適用しない
- 管理画面の公開を制限
- 公式の IOC がないため、内部 CouchDB への異常アクセスや不審なログインを 調査
- MSP に委託している場合 は今日確認
- 9か月で3件の最高深刻度を踏まえ、ゼロトラスト(ZTNA) への移行も検討
出典
- BleepingComputer (9/10/2026): https://www.bleepingcomputer.com/news/security/max-severity-sonicwall-sma1000-flaw-now-exploited-in-attacks/
- SC Media: https://www.scworld.com/news/10-0-sonicwall-ssrf-bug-now-exploited-in-sma1000-appliance-work-place
- Cyber Unit: https://cyberunit.com/insights/sonicwall-sma1000-cve-2026-102255-remote-access-gateway/
- CySecurity News: https://www.cysecurity.news/2026/10/attackers-are-already-exploiting.html
SonicWall の VPN など、リモートアクセス機器を使っていますか?KGA IT は無料相談を受け付けています:kga-it.com