VPNは多要素認証を使っているから、パスワードだけでは入れないはず。その前提を、別の認証経路から崩す可能性がある脆弱性が公表されました。SonicWallのSonicOSで、SSL-VPNのログインにSAMLを使う組織は、認証設定と稼働中のファームウェアを優先して確認してください。
SonicWallは2026年11月6日付の勧告SNWLID-2026-0014で、CVE-2026-19868を含む7件を公表しました。同日、米国CISAはこの認証回避を、実際の攻撃で悪用された脆弱性の一覧「KEV」に追加しています。ベンダーの表現は「悪用の可能性を示す報告を調査した」、CISAはKEVへの掲載です。両者の記載を分けて扱います。SonicWall勧告・CISA公式データ
認証回避の対象条件はSSL-VPNログインでSAMLを有効にしていることです。攻撃には別の認証方式で使える有効な資格情報が関係します。「誰でもパスワードなしで侵入できる」とは説明されていません。一方、同じ勧告には管理画面やサービス停止につながる別の問題もあり、SAMLを使わない機器も更新対象の確認が必要です。
何が起きるのか：入口の認証と、別経路の認証を分ける
SAMLは、認証基盤が確認したログイン結果をサービスへ伝える仕組みです。会社の認証基盤側で追加確認を求め、その結果をVPNが受け入れる構成があります。MFAは複数の要素で本人を確認する方法で、SAMLそのものと同じ意味ではありません。
本件はSonicOSのSSL-VPNで認証方式の適用が十分でなく、別の認証方式に対する有効な資格情報を持つ利用者がSAMLの制御を回避できる可能性がある問題です。その結果、SAML側で要求するMFAも回避される可能性があります。SAML規格全体や、すべてのMFA製品が破られたという話ではありません。ベンダーの詳細説明・SonicWallによるCVE登録
編集上の点検ポイントは、認証基盤の管理画面だけで安心せず、VPN装置側の認証方式、併用している方式、利用者の権限を一緒に確認することです。点検のために認証回避を再現したり、実在するパスワードをLLMへ入力したりする必要はありません。
対象と修正版：8.2.2と8.2.3を取り違えない
次の表はSonicWall PSIRTの対象・修正版表に基づきます。物理機器だけでなく仮想アプライアンスNSvも含まれます。製品名だけで判断せず、型番、世代、起動中のSonicOSの完全な版番号を照合してください。PSIRTの対象・修正版
| 世代・製品群 | 影響版（勧告の表） | 修正を含む版 |
|---|---|---|
| Gen 7：TZ／NSa／NSsp、NSv 270・470・870 | 7.3.3-7015以前 | 7.3.4-7013以降 |
| Gen 8：TZ／NSa、NSv XS・S・M・L | 8.2.2-8015以前 | 8.2.3-8015以降 |
この表は世代ごとの要約です。PSIRTは型番まで列挙しています。自分の機種が表に見当たらない場合も、安全と決めず、製品別の案内とサポート窓口で確認します。SMA1000など別製品の更新情報を、そのままSonicOSへ当てはめないでください。
Gen 8の修正版は8.2.3-8015です。8.2.2-8015は勧告の影響版側にあります。公式のSonicOS 8リリースノートでも、8.2.3-8015の修正項目GEN8-18361に今回の認証方式の問題が載っています。古い要約や別資料の番号だけで、更新済みと判断しないことが大切です。
11月3日公開・11月6日更新のベンダー事前案内には、Gen 7の7.3.4-7013は10月20日、7.3.4-7015は11月5日という提供日の記載があります。Gen 8の11月6日という予定表記は、リリースノートと併せて読みます。脆弱性の11月6日公表と、全修正版の初提供が同日だったという意味は異なります。機種ごとに実際に取得できる版はMySonicWallで確認してください。
緊急度は点数だけで決めない
| 根拠 | 確認した内容 | 読み方 |
|---|---|---|
| SonicWall PSIRT | CVE-2026-19868：CVSS v3.1で7.1（High） | PR:Lを含むベンダーの個別評価 |
| CVEレコードのCISA-ADP | CVSS v3.1で7.5（High） | PR:Nという別評価。点数だけで必要条件を消さない |
| CISA KEV | 11月6日追加、期限欄11月20日 | 実悪用を踏まえた優先対応の根拠。日本の全組織共通の期限ではない |
PSIRT勧告全体の最大値8.8は、管理インターフェースの別の脆弱性の値です。今回の認証回避の7.1と混同しないでください。7.1と7.5の違いは、取得した個別ベクトルのPrivileges Required（事前権限）などに現れます。CISA-ADPの値をNVD独自の評価と呼ばず、発表者を付けて記録します。PSIRT詳細・CVEの評価情報
CISAの期限欄は米連邦政府の対象機関向けの対応管理に関係します。日本の組織が11月20日まで待ってよいという意味ではありません。インターネット公開、SAML利用、業務影響を確認し、更新と侵害兆候の点検を優先してください。ランサムウェアでの使用はKEV上「不明」です。攻撃の開始日、国内被害件数、個々の機器の侵害有無も、この掲載だけでは分かりません。CISA KEV
同じ勧告にある残り6件も、更新判断に含める
| CVE | 問題の場所・内容 | PSIRTのCVSS v3.1 |
|---|---|---|
| CVE-2026-107155／CVE-2026-107154 | 管理画面のクロスドメインポリシー／セッション検証。特定条件下で不正操作の可能性 | 各8.8 |
| CVE-2026-82308 | SSL-VPNのヒープ領域のバッファーオーバーフロー。サービス停止の可能性 | 7.5 |
| CVE-2026-77708／CVE-2026-77709 | TACACS+認証クライアントのスタック／ヒープのバッファーオーバーフロー。サービス停止の可能性 | 各5.9 |
| CVE-2026-19703 | 仮想アプライアンスの弱いパスワードハッシュ。既存のローカルアクセスを持つ攻撃者による資格情報の露出の可能性 | 5.2 |
バッファーオーバーフローは、プログラムがデータを置く領域の扱いに問題がある状態です。本勧告が上記の該当項目で述べている影響はアプリケーションレベルのサービス拒否であり、この説明から任意コード実行まで断定しません。7件すべての実悪用が確認されたという意味でもありません。7件の説明
管理者の進め方：稼働版の確認から、再起動後の検収まで
- 1まず読み取り専用で台帳を作る。機種・世代・物理／NSv、稼働中の完全な版番号、SSL-VPNとSAMLの利用、インターネット公開、HA構成、担当者を記録する。外部に公開された任意の機器を探す作業は行わない。
- 2MySonicWallで登録機器向けの修正版を確認する。既存版からの更新経路とリリースノート、サポート条件を照合し、停止時間と復旧担当を決める。
- 3必要なログと設定を安全な保存先へ退避する。公式手順では設定のエクスポートとバックアップを案内している。機器内のバックアップを新規作成すると既存バックアップを上書きする場合があるため、保存済みの復旧材料を先に確認する。
- 4承認された保守作業としてファームウェアを適用する。SonicOS 7の公式手順では現在の設定を使った起動を案内しており、工場出荷設定での起動を誤って選ばない。HAは専用手順で両系の更新・同期を確認する。
- 5再起動後、アップロード済みファイルではなく、実際に稼働する版を確認する。権限のあるテスト利用者で通常のVPN接続、所定のMFA要求、業務通信、ログ取得、HAの状態を検収する。
- 6不審な接続・設定変更があれば、更新完了だけで終了とせず、ログ保全と担当CSIRT・保守窓口への相談を進める。更新は過去の侵害がなかったことを証明しない。
メニュー名と適用手順はOS世代で異なります。SonicOSの公式更新手順とHA構成の更新手順を、実機の版に合わせて確認してください。ここでのログ照合と検収項目は編集上の運用提案であり、攻撃検出を保証するものではありません。
更新できない間の対策と、利用者ができること
PSIRTは本勧告の回避策を「なし」としています。アクセス元の制限や不要な入口の停止は、管理者が業務影響を判断して検討する露出低減策です。脆弱性の修正と同等とは扱いません。また、SAMLやMFAを無効にすることを安易な解決策にしないでください。更新が難しいときは、保守担当と利用継続の条件を具体化します。回避策の記載
一般の利用者が行うのは、社内の正式な案内に従うこと、予期しない追加認証の要求や不審な通知を管理者に伝えることです。VPNクライアントだけ更新しても、SonicOS装置側の修正を確認したことにはなりません。通知に見せかけたリンクから資格情報を入力せず、いつもの窓口へ確認してください。
LLMには、機密を除いた棚卸しと未確認点の整理を頼む
あなたは社内VPNの更新計画を補助します。添付したSonicWall勧告SNWLID-2026-0014、CVE-2026-19868のCVE公式レコード、匿名化した台帳だけを根拠に、読み取り専用で整理してください。
1. 機種・世代・物理/NSv・稼働中の完全なSonicOS版・SSL-VPN/SAML利用・公開範囲・HA・担当を表にする。不明は不明のまま残す。
2. CVE-2026-19868のSAML条件と、同じ勧告の他6件を区別する。Gen7は7.3.4-7013以降、Gen8は8.2.3-8015以降というPSIRT表と照合し、機種別の更新経路は別途確認事項にする。
3. CVSS 7.1はSonicWall、7.5はCISA-ADPと出典を分ける。8.8をこの認証回避の点数にしない。
4. 設定・ログ保全、停止時間、HA両系、再起動後の稼働版、通常接続とMFA、業務通信の検収をチェックリストにする。
5. 作業担当、期限、必要な承認、未確認の証拠を示す。
パスワード、秘密鍵、トークン、実際の設定ファイルや個人の生ログは要求しない。攻撃の再現、外部スキャン、ログイン、更新、認証設定変更、外部送信はしない。台帳だけで侵害なし・安全と判定しない。コピー用プロンプトをテキストで保存する。これは本記事の棚卸し用教材で、SonicWallの診断ツールではありません。LLMの出力は、管理者が機種別の公式資料と実機の表示で検収します。更新順を決める基本は脆弱性ウォッチの初動整理も参照してください。
確認日時：2026年11月7日16時台JST。PSIRTの公開JSON、CVEレコード、CISA KEV、公式事前案内・リリースノート・更新手順を照合しました。PSIRTのWeb本文は取得できなかったため公式JSONで補完しています。機器へのログイン、更新、攻撃再現、MFAの実機検証は行っていません。