ソニックウォール、サポート終了GMSの脆弱性2件を修正せず　ファイル閲覧やデータベース改変の恐れ

ソニックウォールは2026年11月3日、サポート終了（EoL）のGlobal Management System（GMS）に影響する2件の脆弱性を公表し、修正パッチやセキュリティ更新を提供しない方針を明らかにした。

事案の詳細

ソニックウォールの警告によると、対象はSonicWall GMS 9.5.2およびそれ以前のバージョンで、同製品はすでにEnd-of-Life（EoL）に到達している。これにより、今回の脆弱性について「いかなる対策（remediation）やセキュリティ更新もリリースしない」としている。

1つ目はCVE-2026-109593（CISAによるCVSSスコア：9.1）で、認証なしでファイルを読み取られる脆弱性と説明されている。ネットワーク経由でアクセスできる攻撃者が、GMS内部のファイルを読み取れる可能性がある。

2つ目はCVE-2026-109594（CISAによるCVSSスコア：6.8）で、認証後に悪用されるSQLインジェクションの脆弱性とされる。特定の条件下で、管理者相当の高い権限を持つ認証済みの攻撃者が、GMSのデータベースに保存された情報を閲覧または改変できる可能性がある。

ソニックウォールは、GMSを利用する組織に関連するセキュリティリスクを認識するよう求め、後継製品としてSonicWall Network Security Manager（NSM）へのアップグレードを強く推奨している。

今回の発表は、ソニックウォールがCVE-2026-102255（CVSSスコア：10.0）という別の重大な脆弱性を修正してから1カ月未満で行われた。この脆弱性は、SonicWall SMA1000のWorkPlaceインターフェースに存在する、事前認証のサーバーサイド・リクエスト・フォージェリ（SSRF）である。攻撃者がアプライアンスに攻撃者に代わってリクエストを送信させ、内部機能に到達して不正な操作を実行できる可能性がある。

CVE-2026-102255については、その後、悪用を試みる通信が観測されている。The Hacker Newsの報道時点で、セキュリティ企業Previdianの観測では、2026年10月9日以降にシンガポールと米国の8つのIPアドレスから2,541回の攻撃の試みが記録され、11月3日だけでも最大30回の試みがあった（Previdian）。ただし、攻撃が成功した事例は確認されておらず、11月4日時点で米CISAの「悪用が確認された脆弱性」カタログ（KEV）にも掲載されていない。

日本への影響

GMSのような管理系製品は、複数の拠点や機器を一元管理する用途で導入されやすく、サポート終了後も継続利用される場合がある。今回のようにEoL製品の脆弱性が修正されない場合、社内ネットワークに到達できる攻撃者による内部ファイルの閲覧や、認証情報が悪用された後のデータベース改変といったリスクが残る。特に、社外から到達可能な位置に管理システムを配置している環境では、攻撃を受ける可能性が高まる。

対策・今後の展望

• 利用有無の棚卸し：自社・子会社・委託先の運用を含め、SonicWall GMS 9.5.2以前が稼働していないか確認する。
• 移行計画の策定：ベンダーが推奨するSonicWall NSMへのアップグレードまたは移行を前提に、担当者・期限・停止手順を決める。
• 到達性の見直し：管理系システムへのアクセス経路を必要最小限にし、インターネットから直接到達できる構成を避ける。管理用アカウントの権限整理と不要アカウントの削除も行う。
• 認証後攻撃に備える：管理者アカウントのパスワードを再点検し、共有IDを廃止する。ログの保全と監視体制を確認し、侵害を前提に早期検知できる状態を整える。

CSRIからのアドバイス

海外で公表された脆弱性でも、インターネット上の探索や自動スキャンは国境を選ばない。国内の中小企業でも、クラウドやリモート保守の経路、委託先の運用環境などを通じて同種製品が残っていると、攻撃対象として拾われる可能性がある。

例えるなら、メーカーが「もう修理部品を作らない」と決めた古い設備を、重要書類の保管庫として使い続けているようなものだ。欠陥が見つかっても直せないため、鍵をこじ開けられたり中身をのぞかれたりする危険が積み上がっていく。

まず、社内にGMSが残っていないか、機器一覧とサーバー一覧で確認する。該当する場合は担当者へ「EoLでパッチ提供なし」「NSM移行が推奨」と共有し、移行期限を決める。あわせて、管理画面へのアクセス経路を社内ネットワークやVPNなどに限定できているか見直す。

参照: SonicWall Won’t Patch EoL GMS Flaws That Could Expose Files, Alter Database Records