米CISA(サイバーセキュリティ・インフラセキュリティ庁)は2026年11月6日、SonicWall製SSLVPN機能「SonicOS SSLVPN」に存在する脆弱性「CVE-2026-19868」を、実際に悪用が確認された脆弱性をまとめたKEV(Known Exploited Vulnerabilities)カタログに追加した。この脆弱性は、別の認証方式で有効な認証情報を持つユーザーが、SAML認証による制御を回避できるというものだ。SAMLで強制していた多要素認証(MFA)もすり抜けられる可能性があり、SonicWallのSSLVPNを社外からのリモートアクセスに利用している企業・組織は、至急対応状況を確認する必要がある。SSLVPNはテレワークや拠点間接続の入口として広く使われており、認証回避が成立すれば攻撃者に社内ネットワークへの直接的な侵入経路を与えてしまう点で、影響範囲は小さくない。
脆弱性の概要と影響を受ける製品
CISAのKEVカタログに記載された公式情報をもとに、今回の脆弱性の概要を整理する。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-19868 |
| 脆弱性名 | SonicWall SonicOS SSLVPN Use of Single-factor Authentication Vulnerability |
| ベンダー | SonicWall |
| 製品 | SonicOS SSLVPN |
| CWE分類 | CWE-308(単一要素認証の使用) |
| KEVカタログ追加日 | 2026-11-06 |
| 米連邦機関の対応期限 | 2026-11-20 |
| ランサムウェアとの関連 | 不明(現時点で確認されていない) |
影響を受ける具体的なバージョンについては、今回参照した公式情報には記載がない。詳細はベンダーのセキュリティアドバイザリを確認してください。そもそもSAML認証は、企業が社内のID管理システム(IdP)と連携し、パスワードに加えて多要素認証を強制することでリモートアクセスの安全性を高める仕組みとして採用されることが多い。今回のようにCWE-308(単一要素認証の使用)に分類される脆弱性は、設計上は複数の認証方式が併存している環境で、意図せず「弱い方の認証経路」が使えてしまうことで発生しやすい。
深刻度と悪用状況
CVSS 3.1スコアは7.5(HIGH)、ベクトルはCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:L/A:Nと評価されている。これは、ネットワーク経由で攻撃が可能(AV:N)であり、攻撃には高度な条件(AC:H)が必要だが、事前の権限やユーザー操作は不要(PR:N/UI:N)という内容だ。スコープが変化(S:C)し、機密性への影響が高い(C:H)一方、完全性への影響は低く(I:L)、可用性への影響はない(A:N)とされている。AC:Hで要求されている「高度な条件」とは、公式情報の説明にある通り、攻撃者が別の認証方式の有効な資格情報をあらかじめ持っている必要がある、という前提条件を指していると考えられる。つまり不特定多数からの無差別な攻撃というより、何らかの形で認証情報を入手済みの攻撃者による標的型の悪用が想定されるスコアリングだ。
CISAがこの脆弱性をKEVカタログに追加したこと自体が、実際の悪用が確認されたことを意味する。悪用がランサムウェア攻撃と結びついているかは公式情報上「不明」とされているが、SSLVPNはリモートアクセスの入口であり、認証バイパスが成立すれば社内ネットワークへの侵入起点となり得る。米連邦機関には2026年11月20日までの対応が義務付けられており、民間組織も同様のスピード感での対応が推奨される。
SSLVPNが攻撃者に狙われやすい理由
SonicWallに限らず、SSLVPN機器はこれまでも繰り返し脆弱性の悪用対象となってきた。これは、インターネットから直接アクセスできる位置に設置され、認証を突破すれば社内の広範なリソースへアクセスできるという「境界防御の要」であることが大きい。ランサムウェア攻撃グループが最初の侵入経路としてVPN機器の脆弱性を好んで利用する傾向は過去にも報告されており、今回の脆弱性についてもランサムウェアとの関連は「不明」とされているものの、今後の悪用拡大を警戒する必要がある。企業がSAML連携やMFAを導入していても、今回のように別の認証経路が残っていれば防御が意味をなさなくなるため、認証方式の設計全体を見直す視点が求められる。
ベンダーはどんな修正を行ったか
CISAの公式情報では、対応方法として「ベンダーの指示に従って緩和策を適用すること」が求められており、具体的な修正バージョンや修正内容そのものについての詳細記載はない。詳細はベンダーのセキュリティアドバイザリを確認してください。
脆弱性の性質(CWE-308:単一要素認証の使用)から推測できる一般的な仕組みとしては、SAML認証を設定している環境であっても、別の認証方式(ローカル認証など)の有効な資格情報が残っていると、そちらを使って本来のSAML経由の多要素認証チェックを迂回できてしまう、という構造上の問題が指摘されている。こうした「認証方式の抜け道」をなくすには、SAML以外の認証経路を適切に無効化・制限することが鍵になると考えられる。正確な修正方法は必ずベンダーの公式アドバイザリで確認してほしい。
今すぐやるべき対策手順
SonicOS SSLVPNを利用している管理者は、以下の手順で対応状況を確認してほしい。
- 手順1:バージョン確認 — 管理コンソールから現在のSonicOS/SSLVPNのバージョンを確認する。
- 手順2:ベンダーアドバイザリの確認とアップデート適用 — SonicWallのPSIRT(プロダクトセキュリティ)アドバイザリを確認し、推奨される修正・パッチが提供されていれば速やかに適用する。
- 手順3:回避策の適用 — パッチが即時適用できない場合は、SAML以外の認証方式の無効化、SSLVPNへのアクセス元IP制限、WAFやファイアウォールによるアクセス制御など、ベンダーが案内する緩和策を講じる。クラウドサービス利用時や緩和策が存在しない場合は、BOD 26-04のガイダンスに従い製品の利用停止も検討する。
- 手順4:侵害有無の確認 — SSLVPNの認証ログ・アクセスログを確認し、通常と異なる認証経路での成功ログインや、SAML認証を経ていないログインがないかを調査する。不審な痕跡があれば、CISAの「Forensics Triage Requirements」ガイダンスに沿って調査を進める。
- 手順5:認証方式の棚卸し — 今回の件を機に、SSLVPNやその他のリモートアクセス製品で複数の認証方式が有効になっていないか、組織全体で棚卸しを行う。不要な認証経路は原則として無効化し、MFAを一貫して強制できる構成に統一することが望ましい。
よくある質問
Q1. この脆弱性はすでに悪用されているのか?
A. はい。CISAがKEVカタログに追加したことは、実際の悪用が確認されたことを意味する。ただし、具体的な攻撃手口や悪用事例の詳細は公式情報として公開されていない。
Q2. SAML認証やMFAを導入していれば安全か?
A. いいえ。今回の脆弱性は、SAMLで強制していた多要素認証(MFA)自体をバイパスされる可能性があると説明されている。MFAを設定しているという理由だけで安全とは判断できない。
Q3. 米連邦機関以外の組織も対応期限を守る必要があるのか?
A. BOD 26-04やKEVカタログの対応期限は米連邦機関に対する義務だが、民間企業や他国の組織に強制力はない。ただし、実際に悪用が確認されている脆弱性である以上、同じスケジュール感で対応することが強く推奨される。
まとめ
CVE-2026-19868は、SonicOS SSLVPNのSAML認証制御を単一要素認証で回避できてしまう脆弱性であり、CISAのKEVカタログ入りによって実際の悪用が確認されている。CVSSスコアは7.5(HIGH)、米連邦機関の対応期限は2026-11-20と設定されており、SonicWallのSSLVPNを利用する全ての組織は、バージョン確認・ベンダーアドバイザリの適用・回避策の実施・ログ確認を速やかに進めるべきだ。あわせて、SSLVPN以外のリモートアクセス製品についても、複数の認証方式が併存していないかを点検し、MFAバイパスの余地をなくしておくことが望ましい。詳細な修正内容や対象バージョンは、必ずSonicWall公式のセキュリティアドバイザリで最新情報を確認してほしい。
