SonicWall warns of unpatched flaws in end-of-life GMS software
2026/11/04 BleepingComputer — SonicWall が顧客に警告するのは、サポートが終了した Global Management System (GMS) に影響を及ぼす 2件のセキュリティ脆弱性の存在であり、これらの脆弱性に対する修正パッチは提供しないとしている。Global Management System (GMS) は、数千台の SonicWall セキュリティ・アプライアンスを、IT 管理者が単一のインターフェイスから導入／管理するためのシステムである。ただし、GMS は Network Security Manager (NSM) 管理プラットフォームへと、SonicWall により正式に置き換えられている。
これら 2件の脆弱性は、SonicWall GMS 9.5.2 以前を実行しているシステムに影響するものであり、Pentest-Tools のセキュリティ研究者により発見／報告された。
今週公開された GMS の 1つ目の脆弱性 CVE-2026-109593 を悪用する未認証の攻撃者が、脆弱なインスタンス (GMS 9.5.2 以前) にネットワーク経由でアクセスできる場合には、内部ファイルの読み取りや機密情報の窃取などが引き起こされる恐れがある。
2つ目の脆弱性 CVE-2026-109594 を悪用する高権限を持つ攻撃者は、攻撃の複雑度が低い SQL インジェクションにより、GMS データベースに保存された情報へのアクセス／変更が可能になる。
11月3日 (火) に SonicWall は、影響を受けるシステムがサポート終了 (EOL) となっており、セキュリティパッチが提供されないことから、NSM への移行を顧客に強く推奨した。
同社は、「対象製品はサポート終了 (EOL) を迎えている。そのため、これらの脆弱性に対する修正プログラムやセキュリティ・アップデートは提供されない。対象製品を使用している組織は、関連するセキュリティ・リスクへの認識が必要であり、SonicWall Network Security Manager (NSM) への移行が強く推奨される」と警告している。
実際の攻撃で SonicWall 製品の脆弱性を頻繁に標的とする攻撃者たちは、今年に入ってからも複数の脆弱性をゼロデイ攻撃で悪用している。
2026年2月に SonicWall は顧客に対して、SMA1000 のゼロデイ脆弱性 2件 (CVE-2026-15409／CVE-2026-15410) の修正パッチを適用するよう要請し、7月には悪用を検出したと警告した。さらに、9月に脆弱性 CVE-2026-83548／CVE-2026-83549 が、10月には CVE-2026-102255 が、ゼロデイ攻撃で悪用されたとして修正した。
過去 4年間で、米国の CISA は、SonicWall 製品の脆弱性 19件を実際の悪用が確認された脆弱性の一覧 (CISA KEV) に追加した。そのうちの 13件は、ランサムウェア攻撃グループにより悪用されている。
SonicWall は、17,000社を超えるパートナーのネットワークを通じて、215以上の国と地域で、中小企業／大企業／政府機関などの 50万以上の顧客にサービスを提供している。
この記事は、統合管理ソフトウェアである SonicWall Global Management System の旧版に存在する重大な不具合と、推奨される対処手順について解説するものです。製品の公式サポート提供期間の終了や保守更新の停止が背景に存在します。影響として、保管されているサーバー内情報の無断閲覧／データベース内データの不当書き換え／不正アクセスによる情報漏洩が生じる恐れがあります。対応策として、後継プラットフォームである Network Security Manager への更新／旧システムの運用停止が求められます。 (対象 CVE：CVE-2026-109593／CVE-2026-109594)
You must be logged in to post a comment.