何が起きたか
- SonicWallは、SonicOSファイアウォールの7件の脆弱性を修正するアップデートを公開した。
- そのうち1件はSSL-VPNの認証バイパスで、CVE-2026-19868として追跡されており、攻撃で悪用された可能性がある。
- この欠陥により、別の認証方式の有効な資格情報を持つ攻撃者が、SAMLの制御を回避できる。SAMLで強制されている多要素認証も回避される可能性がある。
- CVSSスコアは7.1で、SAMLを設定したSonicOSのSSL-VPNサービスにのみ影響する。
- 勧告は2026年11月6日（金）に公開された。The Electronic OfficeのRyan Harris氏が欠陥を発見して報告した。
なぜ重要か
SSL-VPNは、職員が外部から組織のネットワークに入るための入口だ。攻撃者が多要素認証を迂回できるなら、多くの企業が十分とみなす防御は、その時点で十分でなくなる。「別の方式の有効な資格情報」という条件がリスクを限定するが、なくすわけではない。盗まれた資格情報は、多くの攻撃の出発点だからだ。SonicWallは、悪用の可能性に関する報告を調査したと述べ、詳細は示さず、ユーザーに更新を促した。
数字で見る
修正7件、悪用1件。 今回の更新はSonicOSの7件の欠陥を対象とする。勧告は、CVE-2026-19868の悪用報告があるため、パッチの適用を促している。
背景
影響を受ける構成は限られている。SAMLを使ったSSL-VPNだ。使っていない場合、この欠陥の影響は受けないが、そう決めつける前に設定を確認しておく価値がある。勧告は、攻撃者が誰か、何台の機器が被害に遭ったかを明らかにしていない。関連記事：QNAPが、攻撃者がPlex2Shellの欠陥の連鎖でNAS機器に侵入していると確認；長すぎるパスワードで、OpenSSHとmuslのLinuxのパスワードなしアカウントが開く；米国が警告：業務用冷凍庫とコールドチェーンがサイバー攻撃の標的に；Chainalysis、侵害で全ユーザーの資格情報とトークンが露出したと認める。
SAMLは、VPNを開く前に、社内のID基盤などの外部サービスが利用者を確認できるようにする標準だ。機器がローカルディレクトリなど別の認証方式も受け付ける場合、その組み合わせによって、管理者が有効だと考えていた制御を飛び越える経路が残ることがある。有効な点検方法は、リモートアクセスの方式を1つだけ有効にして、ほかを無効にすることだ。
今後
- 管理者は修正済みのSonicOSリリースを導入し、SSL-VPNのアクセスログを確認すべきだ。
- 可能な限り、リモートアクセスにはSAML以外の追加の認証要素を求める。
- SonicWallは、侵害の痕跡を示す指標を勧告に追加する可能性がある。
まとめ
多要素認証はリスクを下げるが、誰も迂回の方法を見つけないことが前提になる。今回の抜け道は、2つのアクセス方式の組み合わせにあった。
出典
- BleepingComputer「SonicWall warns of new SSL-VPN MFA bypass flaw exploited in attacks」2026年11月6日。SonicWallのセキュリティ勧告に基づく。同社のページは直接読んでいない。
- カバー画像：cogdogblog、CC0、Wikimedia Commonsより
編集：Rodrigo Cornejo。選定と検証の方法：ノートを書いているのは誰か。
.jpg){kind=link}