要点
- SonicWall のファイアウォールの VPN 機能に、SAML 認証（社内のログイン基盤を使う仕組み）を回避されうる欠陥が見つかった。
- 米国の CISA は、この欠陥が実際の攻撃に使われているとして、2026年11月6日に「悪用が確認された欠陥の一覧（KEV）」へ加えた。
- パスワード以外の本人確認（MFA）も回避されうるとされる。VPN は社内ネットワークの入口であり、破られると被害が広がりやすい。
何が起きたか
CISA は 2026年11月6日、SonicWall SonicOS の SSLVPN（社外から社内ネットワークに入るための VPN 機能）の欠陥 CVE-2026-19868 を KEV に追加した。KEV の記載では、追加日は 2026-11-06 だ。米国の連邦機関には、11月20日までの対応が求められている。
欠陥の種類は、CWE-308「単一要素認証の使用」に分類されている。ログインの方法が複数ある場合に、別の方法の正しいログイン情報を持つ人が、SAML による確認を通らずに入れてしまうおそれがある、という内容だ。
SAML の段階で MFA（パスワードのほかにスマホなどでも本人確認する仕組み）を求めている組織では、その確認も働かなくなる可能性がある。つまり「二重の鍵」が、実質ひとつの鍵になりうる。ただし、攻撃には別の認証方法の有効なログイン情報が前提になる、と CISA の説明からは読める。
CISA は、ランサムウェア（身代金目的の攻撃）に使われたかを「不明（Unknown）」としている。
SonicWall は、この欠陥について advisory（SNWLID-2026-0014）を出している。ただし筆者はその本文を直接読めていない。版の情報は、OffSeq というサイトの要約に基づく二次的な情報だ（元の情報は CVE Database V5 と表示されている）。実際の対応の前に、必ず SonicWall の原文で確かめてほしい。
日本の利用者への影響
日本での利用状況や、日本の組織への被害の報告は、今回確かめた資料からは分からない。ただし、SonicWall のファイアウォールで SSLVPN をインターネットに公開し、SAML でログインさせている組織は、国を問わず条件に当たりうる。自社が当たるかは、情報システム担当に確かめてほしい。
今すぐやること
- 自社や取引先のファイアウォールが SonicWall か、SSLVPN を使っているかを、情報システム担当に確かめる。
- SSLVPN のログインに SAML を使っているかを確かめる。使っているなら、優先して対応する。
- SonicWall の advisory（SNWLID-2026-0014）を読み、修正版や回避策が出ているかを確かめる。出ていれば、すぐ適用する。
- 修正を待つ間は、VPN への接続元を絞る、使わない利用者のアカウントを止めるなど、入口を減らす。CISA は KEV の案内で、各機器がインターネットにどの程度さらされているかを評価するよう、利用者に求めている。
- 身に覚えのないログインがないか、VPN の記録を見直す。見つかれば、パスワードの変更と調査を急ぐ。
背景
VPN が破られると、社内の他の機器やデータへ手が届きやすくなるおそれがある。
今回の欠陥は、MFA を入れていても安心できないことを示す。MFA は強い守りだが、その設定や仕組みに穴があれば、守りは弱まる。認証の入口が複数あるときは、どの入口でも同じ強さの確認が働くかを点検する必要がある。
技術者向けの詳細
- 識別子: CVE-2026-19868（CWE-308 Use of Single-factor Authentication）。
- 対象: SonicOS 7.3.3-7015 以前、8.2.2-8015 以前（OffSeq の要約による二次情報。元は CVE Database V5 と表示。原文で要確認）。
- 修正版: 筆者は確認できていない。SNWLID-2026-0014 を参照のこと。
- CVSS 3.1: 7.5（CISA-ADP、二次情報による）。
- CISA KEV: 追加日 2026-11-06、期限 2026-11-20。ランサムウェア悪用は「Unknown」。CISA は BOD 26-04 に沿った対応と、資産のインターネット露出の評価を求めている。
- 侵入の跡の探し方: SSLVPN の認証ログで、SAML を経ずに成功したログインや、通常と違う認証方法でのログインを探す。普段使わない送信元 IP、深夜帯のログイン、直後の内部への横展開（社内の他の機器へのアクセス）にも注意する。具体的な指標は、公開された時点で SonicWall の原文を参照すること。
