SonicOS SSLVPNでSAML認証を回避、悪用を確認
SonicWallのSonicOSでSSLVPNを使い、SAML認証を設定している組織は要注意です。多要素認証まで回避される脆弱性が実際の攻撃で悪用されており、該当版の確認と告知に沿った対処が必要です。
急ぎ度: 至急
KEVに2026年11月6日に追加され、実際の攻撃での悪用が確認されている上、対象がインターネットとの境界で使われるSSLVPNで、重大度もhighだからです。
関係があるか
SonicOSのSSLVPNでリモートアクセスを提供し、SAML認証で利用者を確認している組織が当てはまります。SAML側で多要素認証を強制している環境ほど、期待した防御が働かない影響が大きくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| SonicWall SonicOS（7.3系） | 7.3.3-7015とそれより古い版 | SonicWallの告知（SNWLID-2026-0014）で確認してください |
| SonicWall SonicOS（8.2系） | 8.2.2-8015とそれより古い版 | SonicWallの告知（SNWLID-2026-0014）で確認してください |
確かめ方
- 1SonicWallの管理画面でSonicOSの版を確認し、7.3.3-7015以前、または8.2.2-8015以前に当たるかを見ます。
- 2SSLVPNの認証設定を開き、SAML認証を使っているか、SAML以外の認証方式も有効になっていないかを確認します。
- 3拠点ごとに機器を持っている場合は、予備機や検証用の機器も含めて台帳と突き合わせます。
何が起きたか
SonicOSのSSLVPN機能に、SAML認証の強制が不十分になる脆弱性が見つかりました。悪用されると、本来はSAMLを通して確認されるはずの利用者認証を迂回され、SAML側で求めている多要素認証も通らずにVPNへ入られるおそれがあります。
この脆弱性は実際の攻撃で悪用されたことが確認されています。
脆弱性は2026年11月6日に公表され、同日にKEVへ追加されました。分類はCWE-308（単一要素認証の使用）で、多要素認証を前提にした設計が一部の経路で効かなくなる種類のものです。
攻撃の流れ
-
1
資格情報の入手
SAML以外の認証方式で使える、有効な認証情報を手に入れます。
-
2
SSLVPNへ接続
その認証方式でSonicOSのSSLVPNにログインを試みます。
-
3
SAMLを通過
SAML認証とSAML側の多要素認証が強制されないまま、認証を通過します。
-
4
VPN利用者になる
正規の利用者と同じ立場でVPNに接続し、社内の資源に到達できる状態になります。
どう悪用されるか
悪用には、SAML以外の認証方式で使える有効な認証情報が必要です。その認証情報があれば、SAML認証の制御を迂回してSSLVPNの認証を通れる可能性があります。
成功した場合の被害は、SAML側で強制しているはずの多要素認証が働かなくなることです。パスワードの流出や使い回しといった、別の経路で得た認証情報の価値が上がり、VPNから社内ネットワークへ入られる足がかりになりえます。
今すぐやること
-
1
SonicOSの版を確認する
SSLVPNを有効にしているすべてのSonicWall機器で、現在の版が該当範囲に入るかを確認します。
-
2
SonicWallの告知に沿って対処する
SonicWallの告知（SNWLID-2026-0014）で、修正版と緩和策の内容を確認し、早く適用します。CISAは米国の政府機関に対し、ベンダーの指示に沿った対応を2026年11月20日までに求めています。日本の組織に義務はありませんが、悪用が確認されているため、それより前の適用が望ましいです。
-
3
SAML以外の認証方式を洗い出す
SSLVPNで有効になっているSAML以外の認証方式と、その方式で使えるアカウントを一覧にします。使っていないものは整理の対象にします。
-
4
ログイン履歴を調べる
SonicWall機器側のSSLVPNログインのログを見直し、見覚えのない利用者や時間帯、接続元がないかを調べます。SAMLを迂回した接続は、認証基盤側のログに残らない可能性があるため、機器側のログを中心に見ます。
-
5
不審な接続があれば認証情報を入れ替える
心当たりのない接続が見つかったら、該当アカウントのパスワードを変更し、社内の他システムへの不正なアクセスがないかを調べます。
修正版がないあいだのつなぎ
SonicWallの告知にある緩和策があれば、それを適用します。ベンダーが示した回避策ではありませんが、SSLVPNで有効にしているSAML以外の認証方式とそのアカウントを洗い出し、使っていないものを無効にしておく方法も、つなぎとして考えられます。
背景
SonicOSはSonicWallのファイアウォール製品に載るOSで、SSLVPNは在宅勤務者や外部の委託先が社内ネットワークに入るための玄関口を担います。SAML認証は、利用者の確認を外部のIDプロバイダーに任せる仕組みです。多要素認証もそちらで一括して強制する構成が多く、VPNの認証を一か所に集める目的で導入されます。
この脆弱性が問題なのは、IDプロバイダー側でいくら多要素認証を厳しくしても、機器側に別の認証の経路が残っていれば、その手前で迂回される点です。VPN機器は外から直接到達できる位置に置かれるため、認証の抜け道は社内への侵入口として狙われます。設定の見直しは、IDプロバイダー側だけでなく機器側の認証方式の一覧にも及びます。
よくある質問
Q.SAML認証を使っていなければ、この脆弱性は関係ありませんか。
まだ分かっていないこと
- ランサムウェア攻撃で使われているかどうかは、KEVの登録上は不明とされています。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
An authentication enforcement vulnerability in SonicOS SSLVPN service may allow a user with valid credentials for an alternate authentication method to bypass SAML authentication controls. Successful exploitation may also bypass SAML-enforced multi-factor authentication (MFA).
参照URL
- advisory NVD
- web PSIRT@sonicwall.com
- web cisa.gov