SonicWall の脆弱性 CVE-2026-15409／15410 の悪用：カスタム・マルウェアの展開を検出

SonicWall 0-day Vulnerabilities Exploited in the Wild to Deploy Custom Malware

2026/07/21 CyberSecurityNews — SonicWall Secure Mobile Access (SMA) VPN アプライアンスに存在する 2 件のゼロデイ脆弱性をアクティブに悪用する攻撃者が、root アクセスを取得してカスタム・マルウェアを展開している。2026年7月初旬にサイバー・セキュリティ企業 Volexity は、SonicWall Secure Mobile Access VPN アプライアンスに関連する侵入の調査に関与した。

この調査により判明したのは、UTA0533 と特定された脅威アクターが、複数のゼロデイ脆弱性を連鎖させ、これらのデバイスを侵害したことだ。それにより、カスタム・マルウェアの展開／ネットワーク・トラフィックの取得／被害ネットワーク内でのラテラルムーブメントが試行されていた。

SonicWall ゼロデイ脆弱性の悪用

SonicWall が2026年7月14日に公表した脆弱性の悪用が、遅くとも 2026年6月22日に始まっていたことを、Volexity は特定した。影響を受ける範囲は、SMA 1000 シリーズモデル 6210／7210／8200v であり、それぞれが hotfix 12.4.3-03453／12.5.0-02835 で修正された。

この攻撃チェーンで悪用された脆弱性は、未認証の攻撃者が /wsproxy エンドポイントを介して、localhost サービスへの WebSocket トンネルを確立する SSRF の欠陥 CVE-2026-15409 と、コード実行の取得に悪用されたコマンド・インジェクションの欠陥 CVE-2026-15410 である。

この露出により、ポート 1050 の CouchDB や、ポート 8188 の SMA control service などの内部サービスへのアクセスが許可されてしまった。攻撃者は、これらの露出した内部サービスを悪用してファイルをアップロードし、特権機能へアクセスするために必要な情報を収集した。

脆弱性 CVE-2026-15410 は、execRemoveHotfix 関数におけるパストラバーサルを可能にするものであり、/tmp に配置されたファイルの root 権限での実行を引き起こす。”remove_hotfix” や “../../../../../tmp/1234.sh” などのパスを参照するログエントリは、悪用を示す強い指標である。

侵害された 1 台のアプライアンス上に UTA0533 がインストールしたのは、内部的に ROOTRUN と呼ばれる xzfind という名前の setuid root 実行ツールである。さらに UTA0533 は、deploy_new.py として保存された、Python ベースのインプラント KNUCKLEBALL も展開した。

このマルウェアは、正規の SonicWall プロセスに Java ペイロードを注入し、起動スクリプトを変更することで永続化を達成した。注入されたペイロードには、HTTP proxy-forwarding ツールである Suo5 と、Behinder に似たカスタム Java Web シェル ORANGETAIL が含まれていた。

攻撃者は NGINX Unit コンフィグを変更し、/api/login と /api/logout へのリクエストを隠しインプラントへとリダイレクトするように設定した。このバックドアは、通常とは異なる無効なブラウザ User-Agent 文字列を介して、漫然とした検出を回避していた。

Volexity は、侵害後のアクティビティも観測した。その中には、暗号化されていない LDAP トラフィックを取得するための tcpdump の使用が含まれていた。攻撃者は、VPN アプライアンスから内部システムへのピボットを試行しながら、ユーザー名とパスワードを探していたと推測される。

ユーザー組織に推奨されるのは、SonicWall の修正の速やかな適用／/var/log/aventail/ ログでの不審な /wsproxy アクティビティの確認／/tmp と /var/tmp における予期しないファイルの有無の調査／/var/lib/unit/conf.json における 127.0.0.1:8085 を指す不正ルートの確認である。さらに Volexity は、ROOTRUN／KNUCKLEBALL／関連ペイロードを検出するための YARA ルールも公開している。

SonicWall Secure Mobile Access (SMA) において、内部サービスへのアクセスを許す脆弱性 CVE-2026-15409 や、任意の命令が処理されてしまう脆弱性 CVE-2026-15410 が発見されました。これらを組み合わせて悪用する攻撃者が、root アクセスを取得してカスタム・マルウェアを展開しています。それにより、最上位の権限で不審なプログラムが組み込まれるため、通信情報の監視やネットワーク内部への不正進入を招く危険が生じます。回避するための確実なアプローチは、提供されている緊急修正プログラムを適用して装置を最新の状態へ更新することです。設定ファイルや各種ログの確認を行い、異常な変更や不正なファイルが残されていないか点検する必要があります。