SonicWall SMA1000、被害組織に「支援」を名乗る電話 CVE-2026-15409
社外から社内につなぐSonicWallのVPN機器「SMA1000」に、実際に攻撃へ悪用されている脆弱性2件が見つかり、米CISAが緊急対応を求めました。CVE-2026-15409とCVE-2026-15410で、未認証で内部に踏み込まれ、最終的に機器を乗っ取られる恐れがあります。ネット直結の装置ゆえ、SonicWall最新版への更新を今すぐ確認してください。
目次
社外から社内につなぐSonicWallのVPN機器「SMA1000」に、実際に攻撃へ悪用されている脆弱性2件が見つかり、米CISAが緊急対応を求めました。CVE-2026-15409とCVE-2026-15410で、未認証で内部に踏み込まれ、最終的に機器を乗っ取られる恐れがあります。ネット直結の装置ゆえ、SonicWall最新版への更新を今すぐ確認してください。
【2026年8月21日 追記】状況は止まっています ― ただし国内向けの案内は出ないままです
8月14日の追記から1週間、新しい動きはありません。新たな被害企業の公表も、追加の技術情報も、報道もありません。止まっていること自体を記録しておきます。
SonicWall自身の案内は、公開初日から一度も更新されていません
ここが今回いちばん指摘しておきたい点です。SonicWallの案内（SNWLID-2026-0008）は2026年7月14日に公開され、同じ日に版1.1へ直されて以降、8月21日まで一度も更新されていません。その間にKEVで身代金要求型の分類が付き、攻撃者の分析記事が複数出て、被害組織へ電話がかかる段階まで進んでいます。それでも案内の中身は初日のままです。
上げるべき版は変わりません。12.4.3-03453 以降、または 12.5.0-02835 以降です（対象機種は6210・7210・8200v）。SonicWallはファイアウォール側のSSL-VPNとSMA 100シリーズは対象外と明記しています。ここを取り違えると、直す必要のない機器を止めることになります。
悪用の起きやすさの指標は、下がったまま戻っていません
8月14日の追記で、EPSSがCVE-2026-15409だけ0.784から0.742へ下がったと書きました。8月20日時点でも0.742のままで、戻っていません（CVE-2026-15410は0.763で横ばい）。身代金要求型に使われていると確定してから2週間、指標は動いていません。それでも両方とも全脆弱性の上位0.6%以内にいます。
比べると分かりやすい例があります。同じくKEVに載り、実際に攻撃されているCisco Secure FMCの脆弱性は、EPSSが0.008（全体のまん中あたり）です。差はほぼ「公開された実証コードがあるかどうか」で説明できます。SMA1000には9件の公開リポジトリがあり、Cisco側は0件です。EPSSは攻撃の実態ではなく、道具の出回り具合を映していると考えたほうが実務に合います。
JPCERT/CCはSonicWallを取り上げました。ただし別件です
2026年8月19日のJPCERT/CC週報に、SonicWall製品の脆弱性という項目が載りました。ただし参照先はSNWLID-2026-0011と0012という別の案内で、本記事が扱うSMA1000の2件ではありません。SonicWallという名前は日本語で流れたのに、実際に攻撃されている側だけが抜けている状態です。社内で「JPCERTに載ったから対応済み」と処理されると取り違えます。番号で確認してください。
是正期限（7月17日）はとうに過ぎています。まだ確認していない場合は、更新の前に侵害されていないかの確認を先に行ってください。手順は前の追記に書いたとおりです。侵害の形跡があった場合、SonicWallは更新ではなく再インストール（仮想版は再作成）、利用者と管理者のパスワード変更、ワンタイムパスワードの再設定を求めています。
【2026年8月14日 追記】被害組織に「対応を手伝う」と電話がかかってきています
前回の追記から1週間、状況を洗い直しました。米政府CISAの記録は、8月11日版（全1,665件）でも2件とも「身代金要求型に使われている」ままです。是正期限の7月17日はとうに過ぎており、修正版の番号（12.4.3-03453以降／12.5.0-02835以降）にも変更はありません。
そのうえで、利用者に直接関わる新しい事実が3つあります。
1. 被害組織へ「支援」を名乗る電話とメールが来ています
Resecurityの報告によれば、7月17日から8月1日にかけて、攻撃者側の暴露サイトに名前を載せられた組織へ、心当たりのない相手から電話とメールが届いています。電話では「Andrew」と名乗る人物が +1 (304) 384-0401 から掛けてきて、あなたのネットワークは侵害されていると告げます。メールの連絡先は info@helprans[.]com。
このドメインは攻撃が始まるより前の6月2日に登録されています。つまり、あとから善意で連絡してきた第三者ではありません。Resecurityは、これを身代金要求型の集団が使う圧力のかけ方の一種と評価し、ただちに法執行機関へ連絡することを勧めています。
被害に遭った直後は、助けを名乗る相手ほど信じたくなります。連絡先が相手方から来た場合は、まずそこを疑ってください。
2. 暗号化していないLDAPが盗聴されていました
「更新しただけでは終わらない」理由が、もう一段はっきりしました。侵入された装置の1台で、攻撃者は /var/tmp/lib.sh を置き、通信をそのまま記録する道具（tcpdump）で、暗号化されていないLDAPの通信（389番ポート）を傍受していました。
LDAPは、社員のIDとパスワードを管理する仕組みとやり取りするための通信です。暗号化せずに使っていると、装置と社内の認証サーバーの間を流れるIDとパスワードが、そのまま読み取られます。装置の穴を塞いでも、この間に抜かれた分は戻りません。
Resecurityは、暗号化なしでLDAPを使っている組織はこれを機に暗号化された通信へ移すべきだとしています。
3. 攻撃の成立しやすさを示す指標は、下がっています
前回、EPSS（今後30日で攻撃に使われる確率の推定値）をCVE-2026-15409が0.784、CVE-2026-15410が0.763と書きました。8月13日時点の値は15409が0.742へ下がり、15410は0.763のままで、順位が入れ替わっています。
身代金要求型に使われていると確定した直後に、数字は上がるどころか下がりました。EPSSは「実際にどれだけ攻撃されているか」を示す指標ではありません。この2件については、KEVに載っていることのほうが重い事実です。どちらも依然として全脆弱性の上位0.5%に入っています。
なお、インターネットから直接見える状態のSMA1000は380台以上が観測されています（Shadowserverの集計、8月10日時点の数字。その後の更新値は公表されていません）。日本語の「注意喚起」は、8月21日時点でも出ていません。ただし用語を正確にしておきます。脆弱性データベースのJVN iPediaには、2026年7月17日付で機械的に生成された登録があります（JVNDB-2026-023879／危険度10.0、JVNDB-2026-023878／7.2）。ないのは「読んで対処を促す」タイプの注意喚起のほうで、JPCERT/CCの注意喚起にもIPAの重要なセキュリティ情報にも、この件は載っていません。一方でシンガポールや香港の公的機関は7月中に注意喚起を出しています。
【2026年8月7日 追記】身代金要求型の攻撃に使われていることが確定しました
この記事の公開後、状況が大きく動きました。米政府CISAの記録で、この2件が「身代金要求型（ランサムウェア）の攻撃に使われている」と分類し直されました。当サイトが8月7日に照会したところ、実際に攻撃されている脆弱性のリスト（版数2026.08.06）で、CVE-2026-15409・CVE-2026-15410とも「ランサムウェアでの利用: 確認済み（Known）」になっています。公開時点では「不明（Unknown）」でした。
攻撃者も特定されています。米セキュリティ企業Resecurityが8月1日に公開した解析は、「INC Ransomware」というグループが、この攻撃手順の全体を主導的に使い回していると報告しました。最初の悪用は6月22日にUTA0533と呼ばれる攻撃者が始め、そこにINC Ransomwareが乗った形です。
最も重要な追記：更新しただけでは終わりません
Resecurityは、はっきりこう書いています。「すでに侵入されていた機器については、修正を当てるだけでは不十分である」。
攻撃者が置いていったプログラムが残ったままの機器は、修正を当てても侵入された状態のままです。同社は、信頼できるバックアップからの初期化（工場出荷状態に戻す）と、認証情報の総入れ替えを推奨しています。入れ替えの対象には、その場限りの数字を発行する仕組み（ワンタイムパスワード）の元になる秘密の値まで含まれます。これを残したままだと、パスワードを変えても攻撃者が正しい数字を作れてしまうためです。
攻撃が成立する確率の指標（EPSS）も、極めて高い値が出ています。CVE-2026-15409が0.784、CVE-2026-15410が0.763。いずれも全脆弱性の上位0.5%に入る水準です（2026年8月6日時点）。一般的なCVEの多くは0.01を下回ります。
自分の機器が侵入されていないかを調べる
Resecurityが公開した痕跡のうち、機器の管理者が確認できるものを挙げます。1つでも見つかれば、更新ではなく初期化の判断が必要です。
| 種類 | 確認するもの |
|---|---|
| 残されたファイル | /usr/bin/xzfind /tmp/hypdate.b64 /tmp/agent_wp8.jar /tmp/agent_wp9.jar deploy_new.py |
| 通信先 （ドメイン） | helprans[.]com （2026年6月2日登録） |
| 攻撃元の IPアドレス | 42.200.172.14 / 81.19.140.217 89.117.20.1 / 108.205.8.173 147.45.51.19 / 150.241.210.53 202.8.105.201 / 217.77.15.99 |
置かれるプログラムにはROOTRUN・KNUCKLEBALL・Suo5・ORANGETAILという名前が付けられています。役割は、権限の奪取、居座り、通信の中継、そして遠隔操作です。ドメイン名の「helprans」は、helpとrans（ransomの略とみられる）を組み合わせたもので、身代金要求のための連絡先として用意されたと報告されています。
米国のセキュリティ機関CISAは2026年7月14日、社外から社内ネットワークへ安全につなぐためのSonicWall製アクセス機器「SMA1000シリーズ」の脆弱性2件を、実際に攻撃へ悪用されている脆弱性のリスト（KEV）に追加しました。CVE-2026-15409とCVE-2026-15410で、CISAは米連邦機関に対し、わずか3日後の7月17日までの対応を義務づけました。
SMA1000は、社員が外出先や自宅から社内システムに接続するときの入口になる装置です。インターネットに直接つながっているため、この入口が破られると社内ネットワークへの侵入に直結します。VPN機器はランサムウェア攻撃の主要な侵入口として狙われ続けており、「悪用が確認された」という事実は、後回しにできないことを意味します。使っている組織は、SonicWallの最新の修正版を今すぐ確認してください。
【続報】2026年7月21日 ― 危険度と修正版が確定、ランサム攻撃での悪用も判明
公開当初は伏せられていた詳しい情報が、その後出そろいました。危険度（CVSS）はCVE-2026-15409が最大値の10.0（緊急・未認証）、CVE-2026-15410が7.2（高）と確定。修正版もplatform-hotfix 12.4.3-03453以降／12.5.0-02835以降と明示され、回避策はなく更新が必須です（対象機種はSMA1000の6210・7210・8200v）。SonicWallは公式アドバイザリSNWLID-2026-0008で配布しています。
さらに、この2件は遅くとも2026年6月22日から、開示前のゼロデイとして悪用されていたことが判明しました。セキュリティ企業Rapid7は、「Inc」ランサムウェアに関連する攻撃者による悪用を観測。攻撃者は認証情報やセッション情報に加え多要素認証（TOTP）のシードまで窃取し、機器を踏み台に社内のドメインコントローラーへ横展開したと報告されています。調査企業Volexityは一連の攻撃を追跡名「UTA0533」として帰属し、ROOTRUN・KNUCKLEBALL・Suo5・ORANGETAILといった独自マルウェア群の使用を確認しました。更新後も、認証情報と多要素認証シードの入れ替え（ローテーション）を強く推奨します。
| 項目 | CVE-2026-15409 | CVE-2026-15410 |
|---|---|---|
| 対象 | SMA1000 (6210/7210/8200v) | SMA1000 (6210/7210/8200v) |
| 危険度(CVSS) | 10.0（緊急） | 7.2（高） |
| 種類 | サーバー側リクエスト偽造 （SSRF） | コードの注入 （OSコマンド実行） |
| ログインの要否 | 不要（未認証） | 必要（管理者権限） |
| 攻撃者ができること | 装置に意図しない 通信をさせる | 装置上で任意の OSコマンド実行 |
| 悪用の確認 | あり（CISA KEV／ 6月下旬〜ゼロデイ） | あり（CISA KEV／ 6月下旬〜ゼロデイ） |
| 連邦機関の期限 | 2026年7月17日 | 2026年7月17日 |
| 対応 | 最新版へ更新 | 最新版へ更新 |
公開された当初は、この2件の危険度スコアがまだ確定していませんでしたが、その後、深刻度を10点満点で示す国際指標CVSSが定まり、CVE-2026-15409は未認証で悪用できる最大値の10.0（緊急）、CVE-2026-15410は7.2（高）と評価されました。CISAは両方を「実際に攻撃されている」と認定して緊急対応を求めており、SonicWallも修正版のビルド番号を公開済みです。以下、技術的な内訳を整理します。
誰が狙い、何をしようとするのか
この脆弱性を突くのは、インターネットに公開されたSonicWall SMA1000を機械的に探し回り、社内への入口をこじ開けようとする攻撃者です。とりわけVPN機器は、ランサムウェアを仕掛ける攻撃者が社内へ侵入する最初の一歩として好んで狙います。外から常に見えていて、しかも社内の奥へ通じているためです。
彼らがやろうとするのは、まず未認証のSSRF（CVE-2026-15409）で装置に内部向けの通信を肩代わりさせ、続いて管理者としてのコード実行（CVE-2026-15410）で装置上に自分の命令を走らせることです。SSRF（サーバー側リクエスト偽造）は、装置をだまして「本来アクセスできないはずの内部の場所」へ代わりに通信させる手口です。単独では地味に見えますが、内部の情報や別の弱点を探る足がかりになり、複数の穴を鎖のようにつなぐことで、最終的に装置そのものの乗っ取りに届きます。SonicWallのSMA1000では、過去にも未認証の穴と管理系の穴を組み合わせて管理者権限を奪う攻撃が確認されています。
装置を乗っ取られると、失われるものは大きくなります。VPNは社外と社内をつなぐ関門なので、ここを支配されると、社員のログイン情報の窃取、社内ネットワークへの侵入、そこからのランサムウェア展開へと一直線につながります。サービスを使うエンドユーザーから見れば在宅勤務やリモート接続が止まり、運用する企業から見れば本番環境ごと危険にさらされます。だからこそ、CISAは3日という短い期限を切りました。
SonicWall SMA1000とは何か
SMA1000（Secure Mobile Access 1000）は、SonicWallが提供する法人向けのリモートアクセス機器です。社員が社外から会社のシステムやアプリに安全につなぐための「入口」として働き、いわゆるSSL-VPN（暗号化した通信で社内に入る仕組み）を提供します。大企業や官公庁など、多数の利用者が同時に接続する環境で使われます。
この種の機器は、その役割ゆえに常にインターネットへ露出しています。誰でも接続を試せる場所に置かれ、なおかつ内部の重要システムへ通じているため、攻撃者にとっては費用対効果の高い標的です。近年はSonicWallに限らず、FortinetやCitrix、Ivantiなど各社のVPN・リモートアクセス機器の脆弱性が繰り返し悪用され、大規模な情報漏えいやランサムウェア被害の起点になってきました。SMA1000も例外ではありません。
2件の脆弱性の中身
CVE-2026-15409：未認証で装置に不正な通信をさせるSSRF
CISA KEVの記載によると、これは「遠隔の未認証の攻撃者が、装置に意図しない場所へリクエストを送らせることができる」サーバー側リクエスト偽造（SSRF）の脆弱性です。ログインは不要で、外から直接突けます。攻撃者はこれを使って、本来は外部から見えない内部のサービスや管理機能へ、装置を踏み台にして間接的に触れられる可能性があります。SSRF単独ではただちに乗っ取りには至りませんが、内部を探る偵察や、次の攻撃への足場づくりに使われます。
CVE-2026-15410：管理者権限でOSコマンドを実行できるコード注入
もう1件は、CISA KEVによれば「特定の条件下で、遠隔の認証済み攻撃者が管理者として任意のOSコマンドを実行できる」コード注入の脆弱性です。悪用には管理者としての認証が要る点で15409とは前提が異なりますが、危険なのはこの2件（あるいは他の穴や盗んだ認証情報）が組み合わされたときです。未認証で足がかりを作る穴と、管理者としてコードを実行できる穴がそろえば、攻撃者は段階を踏んで装置の完全な支配へ近づけます。実際にSonicWall SMA1000では、こうした「未認証の入口」と「管理系のコード実行」を鎖でつなぐ攻撃が、これまでにも観測されています。
なぜVPN機器は狙われ続けるのか
VPN・リモートアクセス機器が繰り返し狙われるのには、はっきりした理由があります。第一に、これらは常にインターネットへ公開されていて、攻撃者がIPアドレスをなめるだけで見つけられます。第二に、社外から社内へ入るための認証情報や通信が集まる場所であり、ここを取れば一気に社内深部へ進めます。第三に、専用機器ゆえに更新が後回しにされやすく、修正が出ても適用されないまま放置されがちです。
SonicWall SMA1000は、2025年にも未認証の重大な穴（当時のCVE-2025-23006など）が権限昇格の穴と組み合わされ、認証なしで管理者権限を奪う攻撃に悪用されました。セキュリティ機関の観測では、当時インターネットに露出していたSMA1000は950台規模にのぼると報じられています。今回のCVE-2026-15409／15410も、同じく「悪用が確認済み」の状態でKEVに載っており、放置された装置が狙われる構図は変わっていません。
いま何をすべきか
最優先は、SonicWallのSMA1000を、SonicWallが案内する最新の修正版（プラットフォーム・ホットフィックス）へ直ちに更新することです。今回の2件はすでに悪用が確認されており、検証を理由に先送りする余地はありません。CISAは連邦機関に7月17日までの対応を課しました。民間企業も、この期限を自社の緊急対応の目安にすべきです。
修正版はplatform-hotfix 12.4.3-03453以降／12.5.0-02835以降で、mysonicwall.com から入手できます（対象機種6210・7210・8200v、回避策はありません）。適用前に、SonicWallの公式アドバイザリSNWLID-2026-0008で自社機種に対応するビルドを必ず照合してください。
更新に加えて、次の点も確認してください。まず、SMA1000をインターネットに公開する必要が本当にあるかを見直し、管理画面などは可能な限り外部から触れないよう制限すること。次に、すでに侵入されていないかの点検です。悪用が始まっている以上、更新は「これ以上入られない」ための対策であって、「すでに入られていないこと」は保証しません。身に覚えのない管理者アカウントや設定変更、不審な通信がないかを確認し、疑わしければ認証情報を入れ替え、詳しい調査を行ってください。悪用状況はCISA KEV ダッシュボード（日本語版）でも追えます。
まとめ
CISAは2026年7月14日、SonicWall SMA1000の脆弱性CVE-2026-15409（未認証のSSRF）とCVE-2026-15410（管理者権限でのOSコマンド実行）を、実際に攻撃へ悪用されているとしてKEVに追加し、連邦機関に7月17日までの対応を求めました。SMA1000は社外から社内へつなぐVPNの入口であり、破られれば社内侵入やランサムウェアの起点になります。
やるべきことは明確です。SonicWallの修正版（12.4.3-03453以降／12.5.0-02835以降）へ直ちに更新し、SNWLID-2026-0008で自社機種のビルドを確認すること。あわせて、外部への公開範囲を見直し、すでに侵入されていないかを点検すること。危険度はCVE-2026-15409が10.0、CVE-2026-15410が7.2と確定し、開示前からのゼロデイ悪用とランサム攻撃への関与も判明しています。とりわけ多要素認証シードや認証情報の窃取が報告されているため、更新後はこれらのローテーションも忘れず行ってください。
よくある質問
Q. 自社のSonicWall SMA1000が対象か、どう確認する？
SMA1000シリーズを使っていれば対象と考えて、SonicWallの公式アドバイザリ（SonicWall PSIRT）で自社の機種・ファームウェアが該当するか、どのホットフィックスで塞がるかを確認してください。今回の2件はすでに悪用が確認されているため、確認と更新は最優先で進めるべきです。なお、SMA100シリーズなど別系列は今回のCVEとは対象が異なります。
Q. どのバージョンに上げれば直るの？
SonicWallは修正版として platform-hotfix 12.4.3-03453以降 と 12.5.0-02835以降 を公開しています（対象機種6210・7210・8200v、回避策なし）。mysonicwall.com からダウンロードし、公式アドバイザリSNWLID-2026-0008で自社機種に対応するビルドを確認のうえ適用してください。
Q. すぐ更新できない場合は？
まず、SMA1000の管理画面や不要なサービスをインターネットから触れないよう制限し、露出を減らしてください。あわせて、すでに侵入されていないかの点検（不審な管理者アカウント・設定変更・通信の有無）を行い、疑わしければ認証情報の入れ替えと調査を実施します。悪用が始まっている脆弱性では、露出を絞ることが被害の芽を減らす即効性のある対策になります。
参照元
- ▸CISA - Known Exploited Vulnerabilities Catalog（KEV・CVE-2026-15409／15410を2026年7月14日追加）
- ▸SonicWall PSIRT - Security Advisories（公式・修正ビルドの確認先）
- ▸SonicWall - Product Notice SNWLID-2026-0008（公式・影響機種と修正ビルド）
- ▸NVD - CVE-2026-15409（未認証SSRF・CVSS 10.0）
- ▸NVD - CVE-2026-15410（コード注入・CVSS 7.2）
- ▸Rapid7 - SonicWall SMA1000ゼロデイの実悪用観測（連鎖・IOC・Inc関連）
- ▸Dark Reading - Inc Ransomware Exploits SonicWall SMA Zero-Days
- ▸Tenable - CVE-2026-15409／15410 SonicWall SMA1000 ゼロデイの整理
堀川 慎
Backend Engineer / AWS / Django / Go
