2026年9月、SonicWallはリモートアクセス製品「SMA 1000シリーズ」に影響する複数の脆弱性を公表しました。これらの脆弱性は実際の攻撃での悪用が確認されており、米国CISAが公開する「Known Exploited Vulnerabilities（KEV）カタログ」にも追加されています。SMA 1000シリーズを利用している組織では、対象バージョンを確認し、速やかに対策を行う必要があります。本記事では、今回公表された脆弱性の概要や影響を受ける製品・バージョン、企業が実施すべき対応について解説します。
※本記事は2026年9月4日時点で確認できる公表資料に基づき作成しています。
contents
SonicWall SMA1000とは
SonicWall Secure Mobile Access（SMA）1000シリーズは、社外の利用者から社内やクラウド上の業務システムへのアクセスを提供するセキュアリモートアクセス製品です。SMA 6210、SMA 7210の物理アプライアンスに加え、仮想アプライアンスのSMA 8200vが提供されています。リモートアクセス装置は、外部から内部資源へ接続するための入口という性質を持ちます。そのため、脆弱性が悪用された場合、単体の機器障害にとどまらず、認証情報や内部システムへのアクセスを含めた侵害可能性の調査が必要になります。今回、SonicWallがアップデートだけでなく侵害指標（IoC）の確認も求めているのは、このような製品の役割を踏まえた対応といえます。
CVE-2026-83548・CVE-2026-83549の概要
SonicWallが公表したのは、Appliance Work Placeインターフェースに存在する認証前のSSRFと、Appliance Management Console（AMC）に存在する認証後のOSコマンドインジェクションです。いずれも実際の攻撃での悪用が確認されていますが、攻撃者、被害組織、侵害台数、攻撃目的などの詳細は公表されていません。
CVE-2026-83548：認証前に悪用可能なSSRF（CVSS 10.0）
CVE-2026-83548は、SMA1000のAppliance Work Placeインターフェースに存在するサーバーサイドリクエストフォージェリ（SSRF）の脆弱性です。意図しない代替アクセス経路が生じることが原因とされ、リモートの未認証攻撃者が機密性の高い機能へ不正にアクセスし、許可されていない操作を行える可能性があります。深刻度はCVSS 10.0の「Critical」です。
SSRFとは、攻撃者が対象サーバーを代理にして、本来は外部から直接アクセスできない宛先へリクエストを送らせる攻撃です。公開インターフェースと内部の管理機能との境界を越える足掛かりになり得るため、認証前に悪用できる今回の脆弱性は特に優先度が高いと判断できます。
CVE-2026-83549：管理コンソールのOSコマンドインジェクション（CVSS 7.8）
CVE-2026-83549は、SMA1000のAppliance Management Console（AMC）に存在するOSコマンドインジェクションの脆弱性です。SonicWallによると、特定の条件下で、管理者として認証された攻撃者が任意のOSコマンドを実行し、リモートコード実行につながる可能性があります。深刻度はCVSS 7.8の「High」です。
2件はいずれも同じSMA1000に存在する脆弱性であることから、組み合わせて悪用される可能性にも注意が必要です。ただし、SonicWallの公開情報では、2件が実際に一つの攻撃チェーンとして利用されたことや、CVE-2026-83548を起点として認証なしでリモートコード実行に至ることまでは明らかにされていません。
影響を受ける製品と修正版
影響を受けるのはSMA 1000シリーズのSMA 6210、SMA 7210、SMA 8200vです。物理アプライアンスと仮想アプライアンスの双方が対象になります。SonicWall製ファイアウォール全般やSMA 100シリーズまで対象が広がるとの発表ではありません。自社の製品名だけでなく、platform-hotfixを含む完全なバージョン番号を確認してください。
| 対象製品 | 影響を受けるバージョン | 修正版 |
| SMA 6210／7210／8200v | 12.4.3-03453 | 12.4.3-03526以上 |
| SMA 6210／7210／8200v | 12.5.0-02835 | 12.5.0-02952以上 |
CVE情報では、12.4.3-03453および12.5.0-02835と、それ以前のバージョンが影響対象とされています。修正版は12.4系が12.4.3-03526、12.5系が12.5.0-02952です。SonicWallはMySonicWallから入手できる最新hotfixへのアップグレードを求めています。
CISAも既知の悪用された脆弱性カタログへ追加
2026年9月2日、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、CVE-2026-83548とCVE-2026-83549をKnown Exploited Vulnerabilities Catalog（KEVカタログ）へ追加しました。KEVへの掲載は、単に深刻度が高いというだけでなく、現実の攻撃で悪用された根拠があることを示します。 CISAは米国の連邦文民行政機関に対し、両脆弱性の対応期限を9月5日に設定しました。この期限が日本企業に直接適用されるわけではありませんが、公開からわずか数日という短い期限は、CISAが迅速な対応を必要と判断したことを表しています。SMA1000を利用する日本企業も、通常の定例アップデートを待つのではなく、緊急対応として扱うべき状況です。また、CISAのKEV情報ではフォレンジックトリアージも求められており、単なる修正プログラムの適用だけでなく、侵害の有無を確認することが重視されています。
なぜ『パッチを当てて終了』では不十分なのか
今回の脆弱性は、公表時点ですでに攻撃での悪用が確認されています。修正版へ更新すれば、その後に同じ脆弱性を利用されるリスクは抑えられますが、更新前に侵害されていなかったことまでは証明できません。攻撃者がすでに設定を変更したり、認証情報を取得したり、別の侵入経路を残したりしていれば、脆弱性を修正した後も影響が続く可能性があります。これは今回の被害状況を示すものではなく、侵害済み機器に対する一般的なリスクです。
SonicWallは、対象バージョンを利用するすべての組織に対し、最新hotfixへの更新に加えて、SonicWall Technical Supportへ連絡し、侵害指標を確認するよう案内しています。今回の公開アドバイザリには具体的なIPアドレス、ファイルハッシュ、URLパスなどのIoC一覧は掲載されていません。2026年7月に公表された別の脆弱性用IoCを、今回の調査へそのまま流用するべきではありません。
SMA1000利用組織が直ちに実施すべき対応
対象機器とhotfixレベルを確認する
まず、SMA 6210、7210、8200vの導入有無と、各機器の完全なバージョン番号を確認します。台帳だけに頼らず、運用委託先、クラウド環境、検証環境、待機系を含めて実機の状態と照合することが重要です。仮想アプライアンスも対象であるため、物理機器だけを確認して終えてはいけません。
最新hotfixへ更新する
12.4系は12.4.3-03526、12.5系は12.5.0-02952以上へ更新します。SonicWallは別の公式回避策を示していないため、アクセス制限などの補完策だけで更新を先送りすることは適切ではありません。業務影響を確認しながらも、悪用確認済みの脆弱性として優先的にメンテナンス時間を確保する必要があります。
侵害指標を確認し、影響範囲を調査する
更新と並行して、SonicWall Technical Supportの支援を受け、対象機器に侵害の痕跡がないかを確認します。必要に応じてログや設定を保全し、異常な管理操作、設定変更、認証の試行、外部との通信などについて確認します。ログが不足している場合は、周辺のファイアウォール、認証基盤、SIEMなどに残る記録も組み合わせて判断します。
IoCが確認された場合は機器と認証情報を再構成する
SonicWallはIoCが確認された場合、ハードウェアアプライアンスを再イメージ化し、仮想アプライアンスを再デプロイするよう求めています。加えて、すべての利用者および管理者パスワードを変更し、TOTPトークンをリセットする必要があります。TOTPリセットの推奨は、今回TOTPシードの窃取が確認されたことを意味するものではなく、侵害後に信頼できる認証状態を再構築するための措置と捉えるべきです。
7月の脆弱性対応後も、再度hotfixの確認が必要
SMA1000では2026年7月にも、SSRFのCVE-2026-15409と、リモートコード実行につながるCVE-2026-15410が公表され、実際の攻撃での悪用が確認されました。このときの修正版は12.4.3-03453および12.5.0-02835以上でした。今回の新たな脆弱性では、そのバージョンも影響対象となり、さらに新しい12.4.3-03526、12.5.0-02952への更新が必要です。
つまり、7月に緊急対応を完了した組織であっても、9月時点で再確認が欠かせません。製品名やメジャーバージョンだけで資産を管理するのではなく、hotfixレベルと適用日、脆弱性ごとの対応状況まで追跡できる運用が必要です。相次ぐ公表は、境界機器の脆弱性管理を年に数回の棚卸しで済ませることが難しい現実を示しています。
境界機器の脆弱性悪用に備える4つのポイント
外部公開資産を攻撃者と同じ視点で把握する
リモートアクセス装置、VPN、ファイアウォールなどの境界機器は、インターネットから到達できるため攻撃者に探索されやすい資産です。管理台帳と実際の公開状況が一致しているかを継続的に確認し、不要な機器や管理画面を公開しないことが基本になります。
悪用状況を加味して脆弱性対応の優先順位を決める
CVSSは重要な判断材料ですが、点数だけで対応順を決めると、現実の攻撃状況を見落とします。今回のCVE-2026-83549はCVSS 7.8である一方、悪用が確認され、CISA KEVにも掲載されています。製品の公開範囲、内部ネットワークへの接続性、KEV掲載、ベンダーの注意喚起を組み合わせ、緊急対応へ切り替える基準を定めておく必要があります。
ログを一元化し、調査できる期間を確保する
インシデント発生後に調査しようとしても、機器のログが短期間で上書きされていれば侵害の有無を判断できません。境界機器、認証基盤、ネットワーク、エンドポイントのログを一元的に保管し、時刻同期、保存期間、改ざん防止、監視ルールを平時から整えておくことが重要です。
再構築と認証情報のリセットを含む対応手順を用意する
境界機器が侵害された場合は、サービス停止や再構築が必要になることがあります。機器の再イメージ化、設定の安全性確認、パスワード変更、MFAトークンの再登録、代替のリモートアクセス手段まで含めた手順を準備し、事業継続部門と合意しておく必要があります。
BBSecが支援する外部公開資産の把握・監視・緊急対応
悪用確認済みの脆弱性へ迅速に対応するには、対象機器を把握する仕組み、脆弱性情報を運用へ反映する体制、侵害を検知・調査できるログ、緊急時に専門家へつなぐ手順を一つの流れとして整えることが重要です。BBSecでは、攻撃者の視点からインターネット上のIT資産を可視化する「アタックサーフェス調査」、脆弱性情報を迅速に提供する「脆弱性情報提供」、各種ログの分析・活用を支援するサービス、インシデント発生時の「緊急対応支援」などを提供しています。SonicWall SMA1000に限らず、VPNやリモートアクセス装置を含む境界機器の管理に不安がある場合は、外部公開資産の把握から監視、初動対応までを分断せずに見直すことが有効です。
セキュリティ対策について相談する
SonicWall SMA1000の脆弱性に関するFAQ
▼ SonicWall SMA1000のどの製品が影響を受けますか？まとめ
SonicWall SMA1000のCVE-2026-83548とCVE-2026-83549は、実際の攻撃で悪用が確認され、CISA KEVにも追加された脆弱性です。SMA 6210、7210、8200vを利用する組織は、12.4.3-03526または12.5.0-02952以上への更新を急ぐ必要があります。対応の要点は、パッチを適用するだけで終わらせないことです。対象資産の特定、侵害指標の確認、必要に応じた再イメージ化または再デプロイ、パスワードとTOTPトークンのリセットまでを一連のインシデント対応として実施してください。境界機器は社内システムへ通じる入口です。脆弱性が公表されてから探し始めるのではなく、平時から資産、バージョン、ログ、対応責任者を把握しておくことが、ゼロデイ攻撃への備えになります。
【参考情報】
- SonicWall,”Product Notice：SMA 1000 Series affected by Multiple Vulnerabilities（SNWLID-2026-0016）”（https://www.sonicwall.com/support/notices/product-notice-sma-1000-series-affected-by-multiple-vulnerabilities-snwlid-2026-0016/kA1VN000002AXmQ0AW）
- SonicWall,SonicWall SMA1000 Series Appliances Affected By Multiple Vulnerabilities（https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0016）
- CISA,CISA Adds Seven Known Exploited Vulnerabilities to Catalog（https://www.cisa.gov/news-events/alerts/2026/09/02/cisa-adds-seven-known-exploited-vulnerabilities-catalog）
- SonicWall「製品に関する重要なお知らせ: SMA 1000シリーズに複数の脆弱性」（2026年7月16日）（https://www.sonicwall.com/support/notices/product-notice-sma-1000-series-affected-by-multiple-vulnerabilities/kA1VN000001nv6D0AQ）
編集責任：木下
ウェビナー開催のお知らせ
最新情報はこちら
