SonicWallのSSL-VPNに多要素認証の回避、悪用を確認

やること

SonicWall のファイアウォールを使っている場合は、SonicOS（機器の OS）を次の修正版以降に更新してください。SonicWall は回避策はないとしています。

• Gen7 の機器（TZ 270〜670、NSa 2700〜6700、NSsp、仮想版の NSv）は 7.3.4-7013 以降
• Gen8 の機器（TZ 80〜680、NSa 2800〜5800、仮想版の NSv）は 8.2.3-8015 以降

悪用が確認された欠陥が影響するのは、SSL-VPN（社外から社内につなぐ仕組み）のログインに SAML を使っている機器です。SAML は外部の認証サービスにログインの確認を任せる方式です。この設定の機器は更新を最優先にしてください。SAML を使っていない機器にも別の欠陥があるので、更新は必要です。

何が危ないのか

SonicWall は11月6日に、SonicOS の7件の欠陥をまとめたアドバイザリ SNWLID-2026-0014 を公開しました。全体の CVSS は 8.8 です。

悪用の報告があるのは CVE-2026-19868 です。SAML とは別のログイン方法の正しい認証情報を持つ利用者が、SAML の確認を通らずに SSL-VPN へ入れるおそれがあります。SAML の側で求めている多要素認証も回避されることがあります。別のログイン方法が具体的に何を指すのかは公表されていません。

攻撃者は別の方法で使える正しい認証情報を先に手に入れている必要があります。ただ、「VPN には多要素認証があるので、パスワードが漏れても入られない」と考えている会社では、その前提が成り立たなくなります。

SonicWall はこの欠陥について、悪用の可能性を示す報告を調べたと書いています。米国の CISA は同じ11月6日に、悪用が確認された脆弱性の一覧（KEV）へ載せ、米国の政府機関に11月20日までの対応を求めました。SonicWall の書き方は「可能性」にとどまり、CISA は一覧に載せて悪用として扱っています。被害の件数や攻撃の手口は、どちらも公表していません。ランサムウェアに使われたかどうかは、KEV では「不明」です。

この欠陥の CVSS は、SonicWall の評価が 7.1、CISA の評価が 7.5 です。SonicWall は攻撃に低い権限が要るとし、CISA は権限を不要としています。

同じ更新で直る欠陥

• CVE-2026-107155 と CVE-2026-107154（CVSS 8.8）は管理画面の欠陥です。条件がそろうと、認証のない攻撃者に不正な操作をされるおそれがあります。CVSS の評価では、利用者の操作が攻撃の条件に入っています
• CVE-2026-82308（CVSS 7.5）は SSL-VPN の欠陥で、認証の前にサービスを止められるおそれがあります
• CVE-2026-77708 と CVE-2026-77709（CVSS 5.9）は TACACS+ 認証の部品の欠陥です。条件がそろうと、認証の前にサービスを止められるおそれがあります
• CVE-2026-19703（CVSS 5.2）は仮想版の欠陥です。機器の内部に高い権限ですでに入っている攻撃者が、一部の設定に使える資格情報を取り出せるおそれがあります

対象

対象の表に載っているのは Gen7 と Gen8 です。Gen7 は 7.3.3-7015 以前、Gen8 は 8.2.2-8015 以前が影響を受けます。仮想版の NSv は ESX、KVM、Hyper-V、AWS、Azure のどれで動かしていても対象です。

中小企業が確かめること

ファイアウォールの保守を委託している場合は、更新の予定と、SSL-VPN のログインに SAML を使っているかを委託先に聞いてください。

アドバイザリに侵入の痕跡の見分け方は載っていません。公式の手順ではありませんが、SAML を使う機器なら、外部の認証サービスのログイン記録と SSL-VPN の接続の記録を見比べる方法があります。認証サービスに記録がないのに VPN に接続している利用者がいないかを見てください。

SAML に移したあとも、機器のローカルユーザーなど別のログイン方法のアカウントが残っていることがあります。使っていないものは削除し、残すものはパスワードを変えてください。管理画面はインターネットから開けないようにしておくと、管理画面の欠陥に対する備えにもなります。