SonicWallは、同社のSMA 1000シリーズアプライアンスに存在する2つの深刻なゼロデイ脆弱性が、パッチが提供されるまでの22日間、INCランサムウェアグループによって積極的に悪用されていたことを確認しました。CVE-2026-15409およびCVE-2026-15410として追跡されているこれらの脆弱性は、いずれもCVSS重大度スコアが最高値の10.0と評価されており、今年に入ってエンタープライズVPNインフラを襲った最も深刻なリモートアクセス脆弱性事案の一つとなっています。

SonicWallのSecure Mobile Accessアプライアンスを利用して、従業員に暗号化されたリモートアクセスを内部ネットワークへ提供している組織にとって、今回のインシデントは、1台の境界ハードウェアにどれほどの信頼が置かれているか、そしてその信頼が裏切られたときにどれほどの代償を払うことになるかを改めて突きつけるものです。

SonicWall SMA 1000 ゼロデイの経緯

SMA 1000アプライアンスは企業ネットワークの境界に配置され、リモートユーザーを認証し、そのトラフィックを内部システムへルーティングします。この配置により、極めて魅力的な標的となります。悪用に成功すれば、単一のデバイスが侵害されるだけでなく、攻撃者は組織全体のインフラへの足掛かりを手に入れることができるからです。

CVE-2026-15409とCVE-2026-15410は、まさにそのようなアクセスを攻撃者に与えました。両脆弱性のCVSSスコアは、リモートからの悪用が可能で、認証がほぼ不要であり、完全な侵害につながる恐れがあることを示す最高評価の10.0です。SonicWall SMAのゼロデイが悪用されカスタムマルウェアを展開といった記事を含む本件に関する以前の報道では、攻撃者が単にこれらのデバイスに侵入するだけでなく、侵害したアプライアンス向けに特別に設計された永続的な悪意あるツールを仕掛けるためにアクセスを利用していたことが詳述されています。

このキャンペーンの関連追跡調査によると、悪用活動は6月22日まで遡って確認されており、SonicWallやセキュリティコミュニティが問題を公に特定するよりもかなり前でした。SonicWall SMAのゼロデイは6月22日から活動中との報告という別の報告では、攻撃者が検知されるまでに、これらの欠陥がどれだけの期間実世界で使用されていたかを示すタイムラインが示されています。

INCランサムウェアと22日間の悪用期間

このインシデントを通常の脆弱性開示と一線を画すのは、INCランサムウェアグループとの直接的な関連性です。INCはSonicWallが修正を提供するまでの丸22日間、この欠陥を利用し、標的を特定し、アクセスを取得し、影響を受けるネットワーク内を横展開するための長い猶予期間を手にしました。ランサムウェア活動において、滞在期間（初期アクセスから防御側が気付くまでの時間）は、封じ込められたインシデントと本格的なネットワーク暗号化事案とを分ける分岐点となることがよくあります。

22日間のリードタイムは重大です。十分なリソースを持つグループであれば、標的のネットワークをマッピングし、価値のあるデータを見つけ出し、元の脆弱性が修正された場合に備えてバックアップのアクセスポイントを確立するのに十分な時間です。このパターンは、UTA0533ハッカーがSonicWall SMAのゼロデイを悪用に関する報道で詳述された、脅威アクター「UTA0533」として追跡されている以前の活動とも符合し、SonicWallのSMA製品ラインが、一度限りの出来事ではなく、長期にわたり高度な攻撃者に繰り返し標的にされてきたことを示しています。

SonicWall SMA1000のゼロデイが活発な攻撃下に、今すぐ修正をで取り上げられたSonicWall自身の緊急ガイダンスは、脆弱性が公になった後に管理者が直面した緊急性を強調していました。同社は顧客に対し、即時のパッチ適用を強く促しました。これは、これらの欠陥に対する内部評価がいかに深刻だったかを示すシグナルです。

リモートアクセスユーザーを取り巻くプライバシーリスク

ランサムウェアの側面だけでなく、この話には、より目立たないながらも同様に重要なプライバシーの側面があります。SMAアプライアンスは、接続するすべてのリモート従業員の認証情報、セッショントークン、およびトラフィックを処理します。この層でのCVSS 10.0の欠陥は、攻撃者がランサムウェアのペイロードを展開する能力だけでなく、数週間にわたって認証データや内部トラフィックパターンを可視化できた可能性を意味します。

リモートで仕事をする従業員や契約社員にとって、この種の境界デバイスの侵害は、ランサムウェアの展開自体がより目に見える結果であったとしても、個人のログイン認証情報、セッションデータ、そして潜在的にアプライアンスを通過する機密性の高い通信を露出させる可能性があります。これはSonicWallに限ったことではなく、Check Point SmartConsoleのゼロデイが攻撃で悪用されるで最近見られた同様の露出も、境界セキュリティツールが、まさにそこを流れるプライバシー上の機密データゆえに、ベンダーを問わず価値の高い標的であり続けていることを裏付けています。

これがあなたにとって意味すること

あなたの組織がSonicWall SMA 1000アプライアンスを運用している場合、最優先事項は、CVE-2026-15409およびCVE-2026-15410に対処するパッチが適用されていることを確認することです。修正が到着するまでの22日間の悪用期間を考慮すると、その期間中、SMA 1000の全展開環境が侵害された可能性があるとみなし、異常な認証アクティビティや予期しない外向き接続がないかログを確認することも価値があります。

たとえあなたがこれらのアプライアンスの管理に直接責任を負っていなくても、あなたの雇用主がSonicWallのリモートアクセスツールを使用している場合、IT部門またはセキュリティチームに、パッチが展開されたかどうか、そして侵害の兆候が見つかったかどうかを尋ねるのは妥当なことです。個々のユーザーがエンタープライズアプライアンスに自分でパッチを適用することはできませんが、このような確認されたインシデントの後でVPNとリモートアクセスのパスワードを変更することは賢明な予防策です。

重要なポイント

今回のSonicWall SMA 1000ゼロデイ事案は、単一の境界デバイスが、何週間も検知されないアクセスを伴うランサムウェア活動の侵入口になり得ることを示しています。2つの別々のCVEにCVSS 10.0の評価が付けられ、INCランサムウェアによる22日間にわたる悪用が確認されたことは、今年に入ってより深刻なリモートアクセスセキュリティ事案の一つとなります。組織は、パッチが適用されていることを確認し、悪用期間まで遡って侵害の兆候を監査し、SMA 1000のような境界アプライアンスを、インターネットに面するあらゆる重要システムと同等の精査を必要とする価値の高い標的として扱うべきです。ベンダーのアドバイザリを常に最新の状態に保ち、迅速にパッチを適用することが、今回の後に必然的に続くであろう次のゼロデイに対する最も効果的な防御策であることに変わりはありません。