CISAは、SonicWall SSLVPNの認証バイパス脆弱性を既知の悪用脆弱性（KEV）カタログに追加した。攻撃者が多要素認証（MFA）を含むSAML認証の制御を回避できる脆弱性が悪用されていることを確認した形だ。
CVE-2026-19868として追跡されているこの脆弱性は、SonicWallのファイアウォールソフトウェアSonicOSに影響する。
CISAはKEVカタログに追加したのは11月6日で、連邦政府の民間機関には影響を受けるシステムを11月20日までに修正するよう求めている。
この脆弱性は、リモートアクセスの保護にSAMLベースのMFAを利用している組織にとって、特に懸念される。攻撃者は、別の認証方式で有効な認証情報を持っていれば、追加の保護を回避できる可能性がある。
CVE-2026-19868がSonicWallの認証を回避する仕組み
SonicWallのセキュリティアドバイザリによると、CVE-2026-19868はSonicOSのSSLVPNサービスに存在する認証強制の脆弱性だ。
悪用に成功すると、別の認証方式で有効な認証情報を持つ者が、SAML認証の制御とSAMLで強制されるMFAを回避できる可能性がある。
この脆弱性があるからといって、認証されていない攻撃者が影響を受けるファイアウォールに自動的にアクセスできるわけではない。攻撃には別の認証方式で有効な認証情報が必要であり、SAML認証の設定がこの問題の核心となる。
この点が、CVE-2026-19868をセッションハイジャックや認証なしのリモートアクセスに関する脆弱性と区別する。
この脆弱性は、SonicOS SSLVPNの脆弱性とも異なる。後者は2025年11月に公表されたもので、認証されていない攻撃者が影響を受けるファイアウォールをクラッシュさせる可能性があった。
SonicWallは、アドバイザリSNWLID-2026-0014で、CVE-2026-19868を他の6件の脆弱性とともに対処した。今回のより広範な更新には、管理インターフェースの弱点とサービス拒否の脆弱性に対する修正も含まれる。
CISAは悪用を確認しているものの、公開情報からは、誰が標的になったのか、攻撃者が必要な認証情報をどのように入手したのか、またこの脆弱性がより大規模な攻撃キャンペーンで使われたのかは明らかになっていない。
影響を受けるSonicOSのバージョンと必要な更新
SonicWallは、影響を受けるファームウェアのバージョンとして次を挙げている。
- Gen 7ファイアウォール：SonicOS 7.3.3-7015以前
- Gen 8ファイアウォール：SonicOS 8.2.2-8015以前
対応する修正版は、サポート対象のGen 7プラットフォームではSonicOS 7.3.4-7013以降、Gen 8プラットフォームではSonicOS 8.2.3-8015となる。
管理者はアップグレードする前に、使用しているアプライアンスの正確なモデルを確認すべきだ。SonicWallが公開したGen 7向けの初期リリースノートでは、仮想ファイアウォールNSvではSonicOS 7.3.4がまだ提供されていないと説明されており、プラットフォームごとの提供状況を考慮することが重要になる。
同社はファームウェアのアップグレードガイダンスを公開しており、影響を受ける世代、サポート対象のリリース、旧型アプライアンスの状況を説明している。
Gen 6以前のファイアウォールはサポート終了を迎えており、今回のファームウェア更新は提供されない。現在もこれらのデバイスを運用している組織は、サポート対象の交換用ハードウェアを検討すべきだ。
管理者が今すぐ実行すべきこと
セキュリティチームは、次の対応を優先すべきだ。
- 影響を受けるアプライアンスを特定する。SonicWallのファイアウォールを棚卸しし、ファームウェアのバージョンを記録するとともに、SSLVPNとSAML認証が有効になっているか確認する。
- 適切なファームウェアをインストールする。CVE-2026-19868だけに対処するのではなく、影響を受ける各プラットフォームでサポートされている最新のセキュリティリリースを適用する。
- 認証アクティビティを確認する。通常とは異なるSSLVPNログイン、予期しない認証方式、見慣れない送信元アドレス、不審な設定変更を調査する。
- 認証情報の漏えいを評価する。侵害された可能性のあるアカウントを確認し、調査でリスクが特定された場合は認証情報を変更する。
- フォレンジック用の証拠を保全する。調査に影響を及ぼす可能性のある変更を加える前に、関連する認証ログと設定記録を保持する。
認証情報の確認が特に重要なのは、SonicWallが過去にファイアウォールのバックアップを漏えいさせた事案があり、同社が2025年9月に認証情報のリセットを推奨したためだ。この事案とCVE-2026-19868との関連を示す公的な証拠はない。
CISA、修正期限を11月20日に設定
CISAがKEVに指定したことで、CVE-2026-19868が理論上の脆弱性にとどまらず、現実の攻撃で悪用されていることが確認された。
拘束力のある運用指令26-04に基づき、対象となる連邦政府の民間機関は、11月20日までに該当する修正およびフォレンジック・トリアージの要件に従わなければならない。
民間組織は同じ連邦政府の期限の対象ではないが、影響を受ける構成を運用している限り、根本にある脆弱性には直面する。
パッチを適用すれば、確認されている認証バイパスは解消できる。ただし、攻撃者が過去に環境へアクセスしたかどうかまでは明らかにならない。
そのため組織は、ファームウェアの更新と侵害状況の評価を別々の作業として扱うべきだ。特に、外部に公開されたVPNサービスが機密性の高い内部システムへのアクセスを提供している場合は注意が必要になる。
関連記事：SonicWallの以前のSMA1000のゼロデイ脆弱性は、別のリモートアクセス製品と攻撃手法に関するもので、悪用された2件の脆弱性を連鎖させてリモートコード実行を可能にするものだった。