본문으로 이동
ONEPRESS

TECHNOLOGY

SonicWall SMA 1000の脆弱性が悪用中、ホットフィックス後も侵害痕跡を確認してください

ITブリーフィング
言語別ブリーフィング
KO 한국어 EN English JA 日本語 ZH 简体中文 ES Español VI Tiếng Việt
サーバールームで管理者がリモートアクセス装置とログを確認している場面
実運用の現場で装置のバージョンとログを確認する行動を中心にしたONEPRESSの技術・公共安全画像です。
  • 確認時刻: 2026-07-15 20:11 KST
  • 確認根拠: 7月14日付のSonicWall製品通知・PSIRT勧告とCISA KEVを照合

何が変わったのか

SonicWallは7月14日、SMA 1000 Seriesに影響するCVE-2026-15409とCVE-2026-15410が実際に悪用されていると確認しました。前者はCVSS 10.0のSSRF、後者は特定条件で認証済み管理者がOSコマンドを実行できるコードインジェクションでCVSS 7.2です。CISAも両方をKEVに追加しました。

これは通常の更新通知ではありません。SonicWallは最新ホットフィックスの適用後、侵害指標のフォレンジック確認を求めています。指標が見つかった場合、物理装置は再イメージ化、仮想装置は再展開し、利用者・管理者パスワードとTOTPトークンをリセットします。

更新済みと安全確認済みは同じではありません。悪用中の境界装置なので、版確認、証拠保全、ログ・設定確認、必要時の再構築を一つの作業として扱います。

対象製品とビルド

  • 製品: SMA 1000の6210、7210、8200v、および全ハイパーバイザー上のCMS。
  • 対象12.4.3: 12.4.3-03245、12.4.3-03387、12.4.3-03434。
  • 対象12.5.0: 12.5.0-02283、12.5.0-02624、12.5.0-02800。
  • 修正版の基準: 12.4.3-03453以降、または12.5.0-02835以降。メジャー版だけでなくホットフィックスの完全なビルド番号を確認します。
  • 範囲: 本通知はSMA 1000向けです。すべてのSonicWallファイアウォールや別製品のSMA 100が同じ脆弱性の対象という意味ではありません。

今日行う7つの手順

  1. 資産台帳: 物理・仮想のSMA 1000とCMSごとに、モデル、完全なビルド、外部公開、担当者、保守会社、バックアップを記録します。
  2. 完全版を確認: AMCはSystem Configuration → Maintenanceのhotfixes、CMCはMaintain → Maintain Serverのhotfixesで確認し、画面や変更記録を残します。
  3. 最新ホットフィックス: 変更承認、サービス継続、バックアップ、復旧経路を確認してMySonicWallから正しい最新版を適用します。
  4. 先に証拠保全: 更新・再起動前にextraweb_access.log、ctrl-service.log、監査・認証ログ、現在設定、時刻やハッシュを保存します。
  5. 公式IoC確認: /_api_/loginまたは/__api__/logoutへのHTTP 200、疑わしいhostを含む/wsproxyのHTTP 101、ctrl-service.logの“hotfix removal”とパストラバーサル名、/var/lib/unit/conf.json内の不審ルートを確認します。
  6. 指標があれば事故対応: 物理装置を再イメージ化、仮想装置を信頼できる元から再展開し、利用者・管理者パスワードとTOTPをリセットします。内部の異常セッションや権限変更も調べます。
  7. 実経路テスト: リモートログイン、MFA/TOTP、アプリ接続、ログアウト、管理接続、ログ転送を確認し、装置ごとに結果を記録します。

バックアップと継続性

  • 侵害指標がある場合、SonicWallは12月のホットフィックス12.4.3-03245または12.5.0-02283より前の設定バックアップだけを使うよう案内しています。
  • 古いバックアップがない場合は、設定が改ざんされていないか精査します。疑わしい設定を復元するとクリーンな再構築を無効にしかねません。
  • 再イメージ前にHA、認証連携、証明書、経路、ポリシー、ライセンス、コンソール、復旧担当を確認します。

過不足なく読む基準

  • 悪用確認は全SMA 1000の侵害を意味しません。装置ごとのログと設定証拠が必要です。
  • 一方、ホットフィックスだけで過去の侵害がなかったとも言えません。ベンダーがフォレンジックを求める理由です。
  • CISAの7月17日期限は米国連邦民間機関向けで、世界中の法的期限ではありませんが、優先順位の強い指標です。
  • 公式通知は被害組織や攻撃者を特定していません。根拠のない件数や帰属を断定しません。

公式・一次情報

要点: SMA 1000を運用している場合は、今日中にモデルと完全なビルドを確認し、最新ホットフィックスを適用して証拠とIoCを確認してください。指標があれば再構築とパスワード・TOTPリセットへ拡大します。