CISA、SonicWallのMFAバイパス脆弱性を悪用リストに追加

米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、深刻なSonicWall SonicOSの脆弱性を「既知の悪用済み脆弱性（Known Exploited Vulnerabilities）」カタログに追加しました。この措置は、多要素認証を回避できるこの欠陥が、現実世界の攻撃において積極的に悪用されているという報告に基づいています。

何が起きたか

CISAは、CVE-2026-19868をCVSSスコア7.1～7.5の高深刻度問題として特定しました。同庁は、この脆弱性がアクティブなキャンペーンで使用されている兆候があると述べ、連邦機関に対して迅速なパッチ適用を義務付けるため、カタログへの追加に至ったと説明しています。SonicWallは、潜在的な悪用を示す報告について調査を行ったことを確認しましたが、脅威アクターや攻撃の具体的な性質に関する詳細は公表していません。

MFAバイパスに加え、SonicWallは同じアドバイザリー内で他の複数の高深刻度の欠陥も修正しました。これには、管理インターフェースに影響を与えるCVE-2026-107155およびCVE-2026-107154が含まれており、両方のCVSSスコアは8.8です。また、別の欠陥であるCVE-2026-82308は、SSL-VPNサービスにおける事前認証ヒープベースバッファオーバーフローであり、サービス拒否（DoS）状態を引き起こす可能性があります。連邦文民執行部（Federal Civilian Executive Branch）の各機関には、2026年11月20日までにこれらのパッチを適用するよう指示が出されています。

この発表は、SonicWallがサポート終了（EOL）となったGlobal Management Systemにおける未パッチの2つの脆弱性に対処した直後に行われました。これらの欠陥、CVE-2026-109593およびCVE-2026-109594は、レガシーシステムでは依然として未修正のままとなっており、ベンダーは顧客に対し、代わりにNetwork Security Managerプラットフォームへ移行するよう促しています。

仕組み

主要な脆弱性であるCVE-2026-19868は、SonicOS SSL-VPNサービス内の認証強制エラーです。これは特に、シングルサインオンと多要素認証のためにSAMLを使用している環境に影響を与えます。この欠陥により、代替的な認証方法に対する有効な資格情報を持つユーザーは、SAML制御を完全に回避することが可能になります。

実質的には、組織がSAML経由でMFAを強制しつつ、別のログイン方法を許可している場合、攻撃者はその代替経路を利用してMFA要件をスキップできます。この設計上のギャップは、強力な認証要素が存在しても、システムがすべての入口でそれらを強制しない限り、保護が保証されないことを意味します。他の修正された脆弱性は、許容的なクロスドメインポリシーやセッション検証エラーに関係しており、特定の条件下でリモートからの未認証攻撃者が管理インターフェース上で不正な操作を実行することを可能にする場合があります。

主要な詳細

• 主要な脆弱性: CVE-2026-19868により、代替認証方法を介してSAML強制MFAを回避できます。
• 深刻度: CVSSスコアは7.1～7.5と記載されており、CISAはこれを「アクティブに悪用中」と分類しています。
• 追加の欠陥: 管理インターフェースに関する2つの脆弱性（CVE-2026-107155、CVE-2026-107154）はスコア8.8、さらにDoS脆弱性（CVE-2026-82308）があります。
• 期限: 連邦文民執行部の各機関は、2026年11月20日までにパッチを適用する必要があります。
• レガシーシステム: サポート終了したGlobal Management System製品には、2つの未パッチの欠陥が残っています。
• ベンダーの対応: SonicWallは即時更新を呼びかけていますが、攻撃者の身元や具体的なエクスプロイト手法については開示していません。

なぜ重要なのか

エンジニアリングチームやITリーダーにとって、この事案は混合認証アーキテクチャの脆さを浮き彫りにします。多くの組織は、既存のディレクトリサービスの上にSAMLベースのMFAを重ねることで、均一な保護を提供すると仮定しています。しかし、基盤となるプラットフォームが同じMFAチェックをトリガーしない代替ログイン経路を許可する場合、セキュリティ制御は事実上無効化されます。これは単なる設定ミスではなく、VPNサービスが認証ポリシーを強制する方法におけるロジックの欠陥です。

この欠陥がCISAの「既知の悪用済み脆弱性」カタログに含まれたことは、修復の緊急性を高めます。標準的なアドバイスとは異なり、KEVリストは政府契約業者や重要インフラ提供者に対して必須コンプライアンス措置を駆動することがよくあります。連邦機関向けの11月20日の期限までの短い猶予期間は、民間セクターでも広範なスキャンや悪用試行がすでに進行中であることを示唆しています。

さらに、Global Management Systemなどのサポート終了製品における未パッチ脆弱性の存続は、技術的負債のリスクについての警告でもあります。レガシー管理プレーンに依存する組織は、完全なプラットフォーム移行以外に明確な修復経路がないまま、同様の認証や管理インターフェースの欠陥にさらされる可能性があることに気づくでしょう。

実行できること

• CVE-2026-19868および関連する欠陥に対処するため、SonicWall SonicOSファームウェアを最新バージョンに即座に更新してください。
• SSL-VPN構成を監査し、代替認証方法がSAML MFA要件を回避していないことを確認してください。
• CVE-2026-107155およびCVE-2026-107154によるリスクを軽減するため、管理インターフェースへのアクセスを信頼できるIP範囲に制限していることを検証してください。
• サポート終了したGlobal Management SystemインスタンスからNetwork Security Managerへの移行を計画してください。
• 代替認証経路の悪用試行を示唆する異常なVPNログインパターンについて、ネットワークログを監視してください。
• 組織が連邦コンプライアンス義務の対象である場合は、2026年11月20日までにパッチ適用を確認してください。