セキュリティベンダーのSonicWallが提供するVPNアプライアンス「SMA1000」シリーズで、公表前の未知の脆弱性2件が少なくとも1ヶ月にわたり悪用され、攻撃者が専用開発したマルウェアを機器内部に埋め込んでいたことが、インシデント対応会社Volexityの調査で明らかになった。

脆弱性の中身と攻撃の流れ

対象は6210、7210、8200vの3機種。悪用されたのはCVE-2026-15409（サーバーサイドリクエストフォージェリ、深刻度Critical）とCVE-2026-15410（コマンドインジェクション、深刻度High）の2件だ。SonicWallは先週この2件を「実際に悪用されている」として緊急告知し、12.4.3-03453／12.5.0-02835でパッチを配布したが、悪用の技術的な詳細までは開示していなかった。

Volexityの報告によれば、同社が「UTA0533」と名付けた未知の攻撃グループは、今年6月22日の時点ですでに侵入を開始していた。SonicWallが脆弱性を公表するより数週間前だ。攻撃の手口は次の通り整理できる。

  • CVE-2026-15409を突き、本来は機器内部からしかアクセスできないはずの/wsproxyエンドポイントを悪用して、認証なしのWebSocketトンネルを確立。内部で動くCouchDBや管理サービスに到達する
  • CouchDBから機器固有のproduct_uuidを取得する（具体的な取得手口はVolexityも「不明」としている）
  • そのUUIDを使い、管理コンソールのsysCtrl.execRemoveHotfixというRPCメソッド経由でCVE-2026-15410のコマンドインジェクションを実行し、root権限を奪取する

root権限を得た後は「KNUCKLEBALL」というPython製ドロッパー（deploy_new.py）を設置し、Java製の常駐マルウェア2種を展開する。「Sou5」は侵害機器を踏み台にするリバースプロキシ、「ORANGETAIL」は暗号化したJavaペイロードを外部から送り込んで実行できるWebシェルだ。さらにnginx設定を書き換えてWebシェルを外部に公開し、root権限昇格ツール「ROOTRUN」まで仕込んでいた。Volexityは技術的な巧妙さを認めつつ、内部ネットワークへの横展開には至らなかったケースも多かったとしている。

実務への影響

日本企業にとってもSMA1000のようなSSL-VPN／リモートアクセス機器はリモートワークの生命線であり、他人事ではない。対応の優先順位は次の3点だ。

  • 該当機種（6210／7210／8200v）を使っている場合は12.4.3-03453／12.5.0-02835への即時パッチ適用
  • パッチ後も、6月22日以降のログ・設定変更履歴を遡って侵害有無を確認する（パッチは新規侵入を防ぐだけで、既存の侵害を消してはくれない）
  • nginx設定の改ざん痕跡や、不審なJavaプロセス（agent_wp8.jar／agent_wp9.jar相当のファイル）の有無をチェックする

境界に置かれたVPN機器は、一度突破されると内部ネットワークへの入口になる。パッチ適用だけでなく、管理インターフェースを本当にインターネットへ露出させる必要があるか、外部公開範囲そのものを見直すきっかけにしたい。

筆者の見解

VPNアプライアンスがゼロデイで突かれる事件は、もう「たまに起きる例外」ではなく、境界防御に依存する構成そのものが抱える構造的なリスクだと捉えている。今回のケースも、正規のエンドポイントの実装ミスから始まり、内部サービスへの横移動、そしてroot権限奪取まで一直線につながった。境界の一箇所が破られると内部を総取りされる構図は、VPN機器のインシデントで繰り返し見てきたパターンだ。

だからこそ、ネットワーク層だけに頼らず、認証層・認可層まで含めた多層防御と、常時アクセス権を持たせないJust-In-Timeの権限管理へ切り替えていく発想が要る。境界の内側にいること自体を信頼の根拠にしない、いわゆるゼロトラストの考え方は、こうした事件が起きるたびに正しさが裏付けられていく。VPN機器の運用担当者には、パッチ適用と並行して「この機器が破られたら次に何が起きるか」を一度棚卸ししてみることを勧めたい。

出典: この記事は SonicWall SMA1000 flaws exploited as zero-days to push custom malware の内容をもとに、筆者の見解を加えて独自に執筆したものです。