SonicWall SMA1000のAMCに脆弱性、悪用を確認
SonicWall SMA1000の管理コンソール（AMC）に、機器上でOSコマンドを実行される脆弱性があり、実際の攻撃での悪用が確認されています。SMA1000を使う組織は、ベンダーの告知で修正版を確認して適用し、侵害の跡も調べてください。
急ぎ度: 至急
KEVに掲載済みで悪用が確認されており、CVSS v3は7.8（high）ですが、数値よりも悪用の実績を優先して判断すべき状況です。
関係があるか
SonicWallのSMA1000を社内やデータセンターで運用している組織が対象です。AMCを使って機器を管理している環境が当てはまります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| SonicWall SMA1000 Appliances（Appliance Management Console） | 対象の版はベンダーの告知（SNWLID-2026-0016）で確認してください | 告知に記載された修正版。版番号は告知で確認してください |
確かめ方
- 1資産台帳や構成図で、SMA1000を運用していないかを確認する。SMA100シリーズは別の製品系統なので、型番を取り違えないようにする
- 2AMCにログインして機器の版を確認し、ベンダー告知の対象版と照合する
- 3AMCの管理画面がインターネットや広い社内ネットワークから到達できる状態になっていないかを、ファイアウォールの設定で確認する
何が起きたか
SonicWallのリモートアクセス用機器SMA1000で、管理コンソール（AMC）を通じて、機器のOS上で任意のコマンドを実行されてしまう脆弱性が公表されました。公表は2026年9月2日です。
この脆弱性は、実際の攻撃で悪用されたことが確認されています。
KEVへの追加も、公表と同じ9月2日でした。ベンダーが告知を出した時点で、すでに悪用が把握されていたとみられます。
分類はCWE-78のOSコマンドインジェクションです。AMCが受け取った値に含まれる特殊な文字を適切に無害化しないまま、OSのコマンドの一部として扱ってしまう不具合にあたります。ベンダーの説明では、特定の条件下でこれが起き、リモートからのコード実行に至るとされています。
攻撃の流れ
-
1
管理者として認証
攻撃者がSMA1000のAMCに、管理者権限でログインする。
-
2
不正な値を送信
AMCの機能に、OSコマンドとして解釈される値を含む入力を渡す。
-
3
OSコマンド実行
機器のOS上で、攻撃者が指定したコマンドが実行される。
-
4
機器を掌握
設定や通信内容の読み取り、書き換え、内部ネットワークへの足がかり作りに使われるおそれがある。
どう悪用されるか
悪用には、AMCに管理者として認証できることが前提です。ベンダーの説明は、リモートの認証済み攻撃者を想定しています。利用者の操作は必要ありません。CVSSのベクターは、ローカルからの低権限での実行という値になっていますが、実際の攻撃はAMCに到達でき、管理者の資格情報を持つ者が対象と考えてください。
成功すると、機器のOS上で任意のコマンドを実行され、リモートコード実行に至ります。機密性・完全性・可用性のすべてが高い影響を受ける評価です。SMA1000はネットワークの境界に置かれる機器なので、設定や認証情報の流出、機器の停止、内部への侵入口にされることが懸念されます。
管理者権限が条件なので、認証なしで誰でも突ける脆弱性よりは悪用の敷居が高いと言えます。ただ、管理者の資格情報が漏れていたり、AMCが広く公開されていたりすれば、その敷居は下がります。
今すぐやること
-
1
対象版かどうかを確認する
AMCで機器の版を確認し、ベンダーのアドバイザリ（SNWLID-2026-0016）の対象版と照らし合わせます。クラウド版や対象外の版の扱いも、告知で確認してください。
-
2
修正版を適用する
告知に記載された修正版、またはベンダーが示す緩和策を適用します。KEVの期限は、米国の政府機関に求められた対応期限として2026年9月5日でした。すでに過ぎているため、未適用なら今すぐ更新してください。
-
3
侵害の跡を調べる
公表から2か月がたち、悪用も確認されているので、更新して終わりにしません。AMCの操作ログ、管理者アカウントの追加や変更、身に覚えのない設定変更、機器から外部への不審な通信を確認します。
-
4
管理者の資格情報を見直す
悪用には管理者権限が要るため、侵害の疑いがあれば管理者のパスワードを変更し、使っていないアカウントを削除します。多要素認証が使える構成なら有効にします。
-
5
AMCへの到達範囲を絞る
AMCは管理用のネットワークや特定の端末だけから届くようにし、インターネットに公開している場合は閉じます。
すぐ更新できないとき
すぐに修正版を当てられない場合は、AMCへのアクセスを管理用ネットワークと特定の端末に限り、インターネット側から到達できないようにします。管理者アカウントも最小限に絞ります。これは悪用の入口を狭めるつなぎで、脆弱性そのものは残ります。ベンダーが告知で別の緩和策を示していれば、それに従ってください。緩和策も修正版も適用できない機器は、利用の停止を検討します。
背景
SMA1000は、社外から社内システムへ安全に接続させるためのリモートアクセス用アプライアンスです。テレワークの接続や、取引先への限定的なアクセス提供に使われます。AMCはその設定や運用を行う管理コンソールで、ユーザー管理、接続ポリシー、証明書といった機器の中枢設定に触れられます。ここを経由してOSを操作できると、設定を握られるだけでなく、機器を通る通信の足場にされかねません。
なお、SonicWallには別系統のSMA100シリーズもあり、今回のKEVの記録が挙げている製品はSMA1000です。社内の機器がどちらにあたるかを、最初に取り違えないよう確認してください。
よくある質問
Q.AMCをインターネットに公開していなければ、急がなくてもよいですか。
Q.SMA100シリーズも対象ですか。
まだ分かっていないこと
- ランサムウェア攻撃での利用の有無は、KEVの記録で不明とされています。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Post-authentication Improper Neutralization of Special Elements used in an OS Command ('OS Command Injection') vulnerability has been identified in the SMA1000 Appliance Management Console (AMC) which in specific conditions could potentially enable a remote authenticated attacker as administrator to execute arbitrary OS commands, resulting in remote code execution.
出典: NIST National Vulnerability Database NVD GitHub Advisory CISA KEV
参照URL
- web psirt.global.sonicwall.com
- web cisa.gov
- web nvd.nist.gov
- web github.com