攻撃者は、同社がセキュリティパッチを公開してからわずか2日後に、重大なSonicWallの脆弱性を標的にし始めた。
CVE-2026-102255として追跡されているこの脆弱性のCVSSスコアは最大値の10.0で、SonicWall Secure Mobile Access（SMA）1000アプライアンスに影響する。セキュリティ研究者は、SonicWallが10月6日に脆弱性を開示してパッチを公開した後、10月8日から攻撃試行を検出した。
この活動により、リモートアクセスにこれらのアプライアンスを使用する組織がリスクにさらされている。ただし、研究者はこの脆弱性に関連する侵害の成功を確認していない。
研究者、攻撃試行135件を検出
脅威インテリジェンス企業のPrevidianとDefused Cyberは、脆弱性の開示直後からCVE-2026-102255を標的とする不審な活動を報告した。
BleepingComputerによると、Previdianの創業者Ryan Dewhurst氏は、同社のハニーポットがWorkPlace Extrawebインターフェースを標的とする、特別に細工されたHTTPリクエストを検出したと述べた。
このリクエストは、脆弱なアプライアンスを介して内部のCouchDBサービスに到達しようとするものだった。
Defused Cyberも独自に、10月8日から同社のSonicWall SMAのおとり環境に対する同様の活動を観測した。
Previdianは10月12日までに、米国を拠点とする2つのIPアドレスからの攻撃試行を135件記録したと The Hacker Newsが報じている。
研究者は、これらの試行によって実際にシステムが侵害されたかどうかを確認できていない。
SonicWallの 公式勧告は現在も、実際の環境で悪用された証拠はないとしている。しかし、 カナダ・サイバーセキュリティセンターは10月9日、悪用に関する公の報告を認める内容に警告を更新した。
SonicWallの脆弱性の仕組み
CVE-2026-102255は、SMA1000アプライアンスのWorkPlaceインターフェースに存在する、認証前に悪用可能なサーバーサイドリクエストフォージェリ（SSRF）の脆弱性だ。
CVEの 公式記録によると、この脆弱性は意図せず存在する別のアクセス経路に起因する。認証されていないリモート攻撃者がアプライアンスから内部サービスにリクエストを送信し、不正な操作を実行できる可能性がある。
SSRFの脆弱性を悪用すると、攻撃者は信頼されたシステムのネットワークアクセスを利用し、本来は外部からアクセスできないリソースに到達できる場合がある。
セキュリティ研究者は、攻撃に成功するとアプライアンスの侵害につながる可能性があると警告している。ただし、公に記録された試行からは、この特定の脆弱性を通じたリモートコード実行や永続的なアクセスの確立までは確認できない。
影響を受けるSonicWallアプライアンスは？
この脆弱性は、SonicWall SMA1000の物理および仮想環境である6210、7210、8200vモデルに影響する。
SonicWallは、影響を受けるファームウェアと修正済みファームウェアのバージョンを次のように示している。
影響を受けるファームウェア | 修正済みファームウェア |
| 12.4.3-03526以前 | 12.4.3-03670以降 |
| 12.5.0-02952以前 | 12.5.0-03082以降 |
この脆弱性は、SonicWallファイアウォール上で動作するSMA 100 SeriesやSSL-VPN機能には影響しない。
SonicWallは10月6日、リモートコード実行、パストラバーサル、蓄積型クロスサイトスクリプティングに関する3件の追加の脆弱性への修正とともに、修正プログラムを公開した。
組織に脆弱なアプライアンスへのパッチ適用を要請
SonicWallは、影響を受けるSMA1000アプライアンスを運用する組織に対し、直ちに修正済みファームウェアのバージョンへアップグレードするよう推奨している。
セキュリティチームは、WorkPlaceインターフェースを標的とする異常なリクエスト、特に内部サービスへのアクセスを試みるリクエストがないか、アプライアンスとネットワークのログも確認すべきだ。
今回の活動に先立ち、異なるSMA1000の脆弱性を狙う攻撃も発生しており、そこでは脆弱性を悪用してマルウェアを展開し、企業ネットワークへの永続的なアクセスを得ていた。ただし、これらのキャンペーンとCVE-2026-102255を結び付ける公的な証拠はない。
今回の迅速な攻撃試行は、予防的なセキュリティ対策をすり抜ける攻撃への備えが重要であることも浮き彫りにしている。
サイバーセキュリティの幹部で、Palo Alto Networksの元最高セキュリティ責任者でもあるRick Howard氏は、eSecurity Planetに寄せたコメントで、レジリエンスの重要性を強調した。
「ほとんどの組織にとって意味のある唯一の戦略は、レジリエンスだ。攻撃を防ぐ必要はなく、攻撃を生き延びればいい」とHoward氏は述べた。
今回の最新の活動は、脆弱性が新たに開示されると攻撃者がいかに速く標的にし始めるかを示しており、組織が露出したシステムを保護する時間がほとんど残されない状況を生み出している。
その他のニュース：Ciscoが7件のセキュリティ脆弱性を公開し、6つのMeraki製品ファミリーに影響するもので、重大な脆弱性も含まれる。