SonicWall SMA アプライアンスの脆弱性 CVE-2026-15409／15410：ゼロ・クリックによる Root 権限侵害の恐れ

Internet-Facing SonicWall SMA Appliances Face Zero-Click Root Compromise

2026/08/03 CyberSecurityNews — SonicWall Secure Mobile Access (SMA) の 2 つの脆弱性 CVE-2026-15409／CVE-2026-15410 を組み合わせることで、完全な VPN ゲートウェイ制御へ至る攻撃経路が成立しており、インターネットに面したアプライアンスに深刻な脅威が生じている。このキャンペーンを展開する攻撃者は、パスワード／セッション／ユーザー操作を必要とせずに、単純な Web リクエストを送信することで root レベルのアクセスへと移行できる。この活動は、脆弱性の公開開示前に始まり、通常は制限されている内部サービスへ到達している。

攻撃者によるアプライアンスの制御が引き起こされると、認証情報の窃取／ネットワーク・トラフィックの監視／再起動後のアクセスの維持が発生し、VPN ゲートウェイが広範なネットワークへの侵入口として悪用されてしまう。

この完全な攻撃チェーンを使用する主要アクターとして、INC Ransomware が浮上していると Resecurity は述べている。同社のレポートによると、7月にパッチが提供される前の、遅くとも 6月22日から攻撃が観測されており、組織が対応する時間はほとんどなかった。

VPN アプライアンスは公開インターネットと価値の高い内部システムの間に位置するため、このリスクは極めて深刻なものである。

Attack Chain (Source - Resecurity)
Attack Chain (Source – Resecurity)

侵害されたデバイスを介して、リモート・アクセスとセッション・データの処理が可能であるため、認証情報窃取／ラテラル・ムーブメント／ランサムウェアのステージングなどの足場が発生する。

ユーザーと接続システムから信頼されている攻撃経路が用いられるため、通常のリモート・アクセス通信に悪意のアクティビティが紛れ込む可能性がある。その結果として、攻撃者による環境のマッピング／データの収集／追加の認証情報の窃取／ランサムウェアのステージングの間も、侵害を発見することは困難となる。

SonicWall SMA アプライアンスがゼロクリック root 侵害に直面

この攻撃チェーンは、最大深刻度の認証前 wsproxy バイパスの脆弱性 CVE-2026-15409 と、removehotfix プロセスに存在するパストラバーサルの脆弱性 CVE-2026-15410 を組み合わせるものである。

1 つ目の脆弱性により、ローカル接続のみを受け付けるべきサービスへの WebSocket トンネルが開かれる。2 つ目の脆弱性により、ステージングされたスクリプトが完全なシステム権限で実行され、低権限の足場から root 制御への権限昇格が発生する。

Malware toolkit deployment chain (Source - Resecurity)
Malware toolkit deployment chain (Source – Resecurity)

この攻撃者は、偽装したクライアント詳細を含む細工したリクエストを送信し、その後に、CouchDB と制御サービスを含む localhost サービスへ向けたトンネルを構築している。

これにより内部分離が破られ、侵入者によるファイルの書き込みが生じるため、ペイロード準備のための環境が整う。SonicWall ゼロデイ悪用に関する以前の報道では、内部コンポーネントへ到達するために、この経路が使用される方式が説明されている。

root アクセスを得た攻撃者は、永続的なバックドア／隠密な転送ツール／メモリベースの Web シェルを展開した。こうして変更された、起動とルーティングの設定により、インプラントは再起動後も生き残れるようになった。

暗号化されていない LDAP トラフィックに対して tcpdump が悪用されたことも、露出した VPN システムが広範なアイデンティティ・インフラをリスクにさらす理由を示している。

影響を受ける製品ラインは SMA 1000 シリーズであり、その中に含まれるのは SMA 6210／SMA 7210／SMA 8200v アプライアンスと、vCMS デプロイメントである。なお、SonicWall firewall SSL VPN と SMA 100 Series 製品群は、この問題の影響を受けない。

以前の SMA100 認証前弱点分析と今回の露出を比較すると、この種のアプライアンスに関連する欠陥が、直接的なエンタープライズ問題になり得る状況が明らかになる。

パッチ適用／ハンティング／復旧

回避策は存在しないため、管理者にとって必要なことは、影響を受けるシステムをファームウェア 12.4.3-03453／12.5.0-02835 以降へとアップグレードすることになる。

更新前にアプライアンスが露出していた場合には、パッチ適用だけでは不十分である。チームにとって必要なことは、露出した脆弱なデバイスが標的にされたものと想定し、変更を加える前にログを保存することである。

重点的なレビューにおいては、不審な wsproxy トラフィック／予期しない WebSocket 応答／異常なクライアント文字列の有無について、アクセス記録を確認すべきである。

ROOTRUN execution flow (Source - Resecurity)
ROOTRUN execution flow (Source – Resecurity)

一時ディレクトリ／起動ファイル／ルーティングコンフィグについては、一覧化されたアーティファクト／予期しない setuid プログラム／packet-capture アクティビティを検査すべきである。アクティブな SMA1000 ゼロデイ・アドバイザリにおける報告内容が、パッチ・レベルと侵入の兆候に関するコンテキストを提供している。

侵害が確認された場合の、より安全な対応は、アプライアンスを工場出荷時状態にリセットし、パッチ適用済みファームウェアによる再構築を実施し、露出前の既知の正常なコンフィグのみを復元することにある。

組織にとって必要なことは、デバイスにより処理された管理者／ディレクトリ・サービス／ユーザーの認証情報に加えて、証明書／API キー／多要素認証シークレットをローテーションすることである。ディレクトリ通信に関しても、LDAPS／StartTLS などの暗号化プロトコルへ移行すべきである。

侵入の再発を低減するためには、公開露出の制限／信頼された範囲への受信アクセスの限定／管理インターフェイスの分離／中央監視プラットフォームへのログ転送などが有効となる。

このインシデントは、VPN ゲートウェイを標的とする、ランサムウェア・グループの広範な傾向と合致している。そこでは、エッジデバイスが、攻撃者に内部システムへの高速な経路を提供する。影響を受ける組織にとって必要なことは、パッチ適用／完全な侵害評価／認証情報の復旧を実施することである。

侵害指標 (IoCs)
TypeIndicatorDescription
DomainHELPRANS[.]COMDomain used in contact activity targeting victims
Email addressinfo@helprans[.]comContact address supplied during extortion-style calls
Phone number+1 (304) 384-0401Number used by caller identifying himself as “Andrew”
Name serversDENVER.NS.CLOUDFLARE.COM
TESSA.NS.CLOUDFLARE.COM		DNS servers recorded for HELPRANS[.]COM
Source IP addresses42.200.172.148
1.19.140.217
89.117.20.110
8.205.8.173
147.45.51.191
50.241.210.53
202.8.105.201
217.77.15.99		Non-VPN source addresses observed interacting with compromised appliances
Network ranges45.131.194.0/24
45.146.54.0/24
63.135.161.0/24
173.239.211.0/24		Infrastructure associated with ASN 206092
Infrastructure IP addresses193.37.32.179
193.37.32.214
216.73.163.151
216.73.163.158		Individual addresses linked to ASN 206092 infrastructure
Leaked hostnamesDESKTOP-5P0TSCP
DESKTOP-IC3C80F
DESKTOP-KRLUI3J
KALI
localhost		Hostnames leaked during observed lateral-movement activity
WebSocket signature/wsproxy?bmID=-3389... returning HTTP 101Suspicious WebSocket upgrade pattern
Spoofed client markerUser-Agent: SMA Connect AgentIdentifier used in malicious wsproxy requests
URI parameterbmID=-3389URI value associated with exploitation attempts
Local target valueshost=0.0.0.0
host=127.0.0.1
host=::ffff:127.0.0.1
host=localhost		Localhost destinations requested through wsproxy
Backend portsport=1050
port=8188		Internal service ports targeted through the WebSocket tunnel
Path traversal../../../../../tmp/1234.shTraversal value used with the remove_hotfix workflow
Exploitation endpoint/rollbackConfirm.actionEndpoint used to invoke the vulnerable hotfix-removal process
Route indicatorsPOST /__api__/login
POST /__api__/logout		Requests redirected to implanted components
Redirect destinations/workplace/error.jsp
/workplace/dialogs/errorDialog.jsp
http://127.0.0.1:8085		Web-shell-related route and proxy destinations
Gating user-agentMozilla/6.0 (Windows NT 11.0; Win64; x64) AppleWebKit/1537.136 (KHTML, like Gecko) Chrome/149.0.0.1 Safari/1537.136User-agent required to activate implanted components
Request parameterfindPOST parameter used by ORANGETAIL
ROOTRUN file/usr/bin/xzfindMalicious setuid binary, internally named rootrun
ROOTRUN MD55cb00bbfe818ee3e85fb99ab1db1af7cROOTRUN file hash
ROOTRUN SHA-104d4a9fbb32e967200eb98be014ca914a03bfa6bROOTRUN file hash
ROOTRUN SHA-25681a9af3846bad3a1107164ff7cf0a08e020b31a3b32fd17866e17d4c156ROOTRUN file hash as reported
KNUCKLEBALL file/usr/lib/python3.11/site-packages/deploy_new.pyPython loader used to inject malicious Java agents
KNUCKLEBALL MD5b6df166291f80ee89032d769c99714f3KNUCKLEBALL file hash
KNUCKLEBALL SHA-1b4ee1f50fbb49f0ff5fde3d026343bc23ee08d51KNUCKLEBALL file hash
KNUCKLEBALL SHA-2568c470301dcb7278f73e622f1950073567b34011c64b60cdfbb0f8980392KNUCKLEBALL file hash as reported
Suo5 file/tmp/agent_wp8.jarHTTP forwarding proxy agent
Suo5 MD554d21399b8b52b48a0fef68450593e45Suo5 file hash
Suo5 SHA-1c2b0ae0a1f42a139abe4dd612676066ec1426394Suo5 file hash
Suo5 SHA-2561e1e68bbb899450a57274a8b12082ed4e2040a2aae77014f20431689dSuo5 file hash as reported
ORANGETAIL file/tmp/agent_wp9.jarMemory-resident Java web shell agent
ORANGETAIL MD55f3a55201c511c9ff9be4c16c41028a2ORANGETAIL file hash
ORANGETAIL SHA-15e5b716f2385c818ec61198be1a2a07a4560eac5ORANGETAIL file hash
ORANGETAIL SHA-256ea9154e374e4f77bc2cf54282e23543573980342a85bc888cb23f20bORANGETAIL file hash as reported
Staged artefacts/tmp/1234.sh
/tmp/hypdate.b64
/var/tmp/lib.sh
/var/tmp/txt		Staged script, privilege-escalation payload, LDAP sniffer and marker file
Persistence artefacts/etc/init.d/workplace
/var/lib/unit/conf.json		Modified files used for persistence and route hijacking
Java attach artefacts/tmp/.attach_pid<PID>
/tmp/.java_pid<PID>		Java Attach API handshake files
Log artefacts/tmp/agent_wp8.log
/tmp/agent_wp9.log		Agent log files cleared and linked to /dev/null
Log sourcesextraweb_access.log
ctrl-service.log
access_servers.log		Appliance logs relevant to hunting activity

注：IP アドレスとドメインは、偶発的な名前解決やハイパーリンク化を防ぐため、意図的に無害化されている (例：[.]) 。再有効化は、MISP、VirusTotal、SIEM などの制御された脅威インテリジェンスプラットフォーム内でのみ行うこと。

SonicWall Secure Mobile Access (SMA) に、通信制御とファイル処理に関する不備が発見されました。この問題の原因は、プロキシ経由による制限迂回と不正なパス指定への検証不足にあります。悪用された場合、認証なしで最高権限が奪取され、機器の遠隔操作や内部ネットワークへのアクセス、認証情報の窃取につながる恐れがあります。特定された脆弱性は CVE-2026-15409／CVE-2026-15410 です。対応策として、開発元が供給する修正版ファームウェアへの更新が有効です。システムを安全に利用するためにも、管理接続のアクセス制限を実施し、最新の更新プログラムを速やかに適用することが推奨されます。