米SonicWallのSMA1000シリーズに認証なしで悪用できる脆弱性2件。9月1日公表・9月2日にCISAが緊急指定し、実際の悪用も確認済みです。対象機種と修正版、点検の手順を整理しました
会社のネットワークにリモートで入るための出入り口装置に、合鍵なしで通れる裏口が見つかりました。米SonicWallが2026年9月1日に公表した、大企業向けリモートアクセス機器「SMA1000」シリーズの脆弱性2件です。1件目(CVE-2026-83548)は深刻度を示すCVSSスコアが10.0満点で、ログインなしに悪用できる(SSRF、サーバーをだまして内部へ不正な要求を送らせる手口)です。2件目(CVE-2026-83549)はOSコマンド注入(CVSS 7.8)で、2つを組み合わせると認証なしでの遠隔操作が可能になると報告されています。米CISAは9月2日に悪用確認済みリスト(KEV)へ即日追加し、連邦機関に9月5日までの対応を命じました。すで実際の攻撃での悪用が確認されているため、対象機器を使う組織は修正版の適用と侵害の点検が必要です。
結論から言う。CVSS 10.0は滅多に出ない。10段階評価で10、つまり理論上の上限だ。しかもログイン不要で突ける穴と、管理者権限で命令を実行できる穴のセット売りときた。個別に見れば「片方は認証が要るから後回しでいいか」と思いがちだが、組み合わせると鍵が要らなくなる。こういう連鎖こそが、現場の担当者を一番苦しめるやつだ。※個人の感想です
SonicWallの製品セキュリティ対応チーム(PSIRT)は2026年9月1日、セキュリティ勧告SNWLID-2026-0016を公表しました。対象はセキュアリモートアクセス機器「SMA1000」シリーズの6210・7210・8200vの3機種です。リモートワークで社内システムに入るためのVPN・ゼロトラスト接続の出入り口として、大企業や官公庁、外部の運用代行業者などで使われています。
公表された脆弱性は2件です。CVE-2026-83548は、機器の利用者向け画面(WorkPlace)にあったSSRFの穴で、CVSS v3の基本スコアは10.0です。攻撃者はログインなしに、機器の内部機能へ不正に到達したり、許可されていない操作を実行したりできるおそれがあります。CVE-2026-83549は、管理者向け画面(AMC)にあったOSコマンド注入の穴で、CVSS 7.8です。こちらは単体では管理者としてのログインが必要ですが、1件目の穴を使って到達できれば、認証なしでの命令実行につながると報告されています。SonicWall自身が、2件とも実際の攻撃で悪用されていることを確認しています。
深刻度の数字だけ見ると、2件目は7.8で「1件目ほどではない」と感じます。しかしセキュリティ企業Rapid7などの分析によると、1件目のSSRFを足場に2件目の画面へ到達できれば、認証の前提が崩れて遠隔操作が可能になります。つまり7.8という数字は「単体で見た場合の評価」であり、組み合わせた場合の危険度は10.0側に引っ張られるということです。
過去にも同じシリーズでは、2026年7月に別のゼロデイ2件(CVE-2026-15409・CVE-2026-15410)が数週間にわたって悪用され、ランサムウェア勢力の攻撃に使われた経緯があります。今回も同様の連鎖が起きる前提で動く必要があります。米CISAがKEV追加の翌々日である9月5日を連邦機関の対応期限に設定したのは異例の速さで、通常3週間の猶予が4日に短縮されています。悪用が「今まさに進行中」と判断されたサインです。
影響を受けるのは、ファームウェアが12.4.3-03453以前、または12.5.0-02835以前のSMA1000(6210・7210・8200v)です。SMA100シリーズやファイアウォールのSSL-VPN機能は対象外とされています。修正版は12.4.3-03526以降、または12.5.0-02952以降です。管理者はまず管理画面で稼働中の版数を確認し、対象なら修正版への更新を優先してください。
確認済みの悪用がある以上、更新だけでなく侵害の有無の点検も必要です。手順は次の通りです。
3の「全部作り直し」は大げさに聞こえますが、管理者権限を奪われていた可能性がある以上、正規の手順です。部分的なパスワード変更では取り残しが出ます。
この機器は企業や官公庁の出入り口であり、個人が直接使うものではありません。そのため、スマートフォンの利用者が「今すぐ何かする」必要はありません。ただし、勤務先や取引先がSMA1000を使っている場合、リモート接続の一時停止やパスワードの再設定を求められることがあります。その際は案内に従ってください。また、攻撃者が企業の内部に入ると、そこから顧客情報の窃取につながるおそれがあります。身に覚えのないログイン通知や、心当たりのないメールが増えたら、各サービスの公式窓口から確認してください。
今回の用語を整理します。CVEは、見つかった脆弱性に付く世界共通の整理番号です。CVSSは深刻度を10点満点で表す物差しで、9.0以上が最高段階の「Critical」です。SSRFは、サーバーをだまして本来行けない内部へリクエストを送らせる手口です。KEVは米CISAが「実際に悪用を確認した穴」を集めた緊急リストで、載った穴は米連邦機関に対応期限が付きます。RCE(リモートコード実行)は、離れた場所から相手の機器で命令を動かすことで、乗っ取りの完成形に近い状態を指します。
今回のように「単体では条件付きの穴」が「別の穴と組んで無条件になる」連鎖は、セキュリティの現場で典型的なパターンです。数字の大小だけでなく、組み合わせで考える癖が身を守ります。
IT Postでは、今回の件で一番まずいのは数字の大きさではなく「出入り口がやられた」点だと考える。家の金庫が壊れるのと、玄関の鍵が壊れるのとでは話が違う。SMA1000は企業の玄関そのもので、ここを押さえられると中への侵入経路が丸見えになる。しかも7月にも同じシリーズがやられている。二度目だ。一度やられた玄関を、同じ作りで使い続けるほうがおかしい。対象組織は更新を「今週の作業」ではなく「今日の作業」に前倒しすべきだし、ベンダー側も「出入り口の作り」そのものを見直す時期に来ている。※個人の感想です
短期的には、修正版の適用が進む一方で、未更新の機器を狙った攻撃の増加が予想されます。7月の事例では、ゼロデイ公表から約6週間でランサムウェア勢力が本格利用を始めていました。今回も同様の時間軸を想定し、9月中の動向に注意が必要です。中期的には、SonicWallが根本対策として設計の見直しに踏み込むか、リモートアクセス機器全体の点検機運が高まるかが焦点です。IT Postでは、CISAの続報や大規模な被害の公表があれば、あらためて取り上げます.
Vercelは2026年9月22日、Webフレームワーク「Next.js」の16.2.0〜16.3.5に、リモートでコードを実行されうる緊急の脆弱性を確認したと発表した。修正版は16.3.6
画像共有サービス「Gyazo」への不正アクセスで、ユーザー情報2,362万件・画像メタデータ4.9億件が漏えい。原因と、いま取るべき対応を確かめた
国産CMS「a-blog cms」バージョン3.2.33以前に見つかったパストラバーサルの脆弱性CVE-2026-87727。対象となる設定と対策を確かめた
登山地図アプリ「YAMAP」のAndroid版に見つかったアプリ内ブラウザの脆弱性CVE-2026-85125。対象バージョンと確認すべき点を確かめた
