これまで文書化されていなかった脅威アクターが、2026年6月22日以降にSonicWall Secure Mobile Access (SMA) 1000シリーズVPNアプライアンスのゼロデイ脆弱性を公開開示前に悪用していたことが明らかになりました。

サイバーセキュリティ企業のVolexityは、この活動をUTA0533と呼んで追跡しています。この発見は今月実施されたインシデント対応調査の結果によるものです。影響を受けた組織の名称は公表されていません。

「この脅威アクターは複数のゼロデイエクスプロイト、SonicWall SMA VPNアプライアンス専用に設計されたマルウェア、その他の攻撃手法を使用していた」と、セキュリティ研究者のSean KoesselとSteven Adairは分析記事で述べています。

問題の脆弱性はCVE-2026-15409（CVSSスコア：10.0）とCVE-2026-15410（CVSSスコア：7.2）で、どちらも連鎖することで任意のコマンド実行が可能となり、影響を受けるデバイスを乗っ取ることができます。SonicWallは今週、両脆弱性に対するパッチを公開しました。

Cybersecurity

侵害された組織に所属する2台のSonicWall SMA VPNデバイスが特定されました。これらのアプライアンスで脅威アクターが実施した一連の動作は以下の通りです。

  • Appliance 1:
    • 2026年6月22日に「/usr/bin/xzfind」という名前のELF実行可能ファイルを書き込み。このファイルはROOTRUNと呼ばれるsetuidバイナリで、非特権ユーザーがroot権限で任意のコマンドを実行できる。
    • 2つ目のファイル「/usr/lib/python3.11/site-packages/deploy_new.py」（別名KNUCKLEBALL）を書き込み。このファイルには正当なSonicWallプロセスに注入される2つの埋め込みJARアーカイブが含まれる。2つのペイロードはオープンソースのHTTPプロキシであるSuo5と、Behinder風のカスタムJavaウェブシェルであるORANGETAIL。JARファイルにより、攻撃者は「/workplace/error.jsp」と「/workplace/dialogs/errorDialog.jsp」というインターネットアクセス可能なURIパスを通じて対話できる。
    • 前の手順でダウンロードしたPythonスクリプトにより、正規の「/etc/init.d/workplace startup」スクリプトを変更して永続化を確立。
    • NGINX Unitの設定ファイル「/var/lib/unit/conf.json」を変更し、Suo5とORANGETAILへの2つのルートを追加。
  • Appliance 2:
    • 最初のデバイスで確認されたものと同じ「/var/lib/unit/conf.json」への変更を実施したが、ルートは有効な応答を返さなかった。
    • 「/var/tmp」ディレクトリに複数のファイルを作成。そのうちの1つ（「lib.sh」）はtcpdumpを起動して暗号化されていないLDAPトラフィックを検査し、ユーザー名とパスワードを抽出する。

2台目のデバイスは2026年7月2日の再起動後にアーティファクトが少なくなり、メモリ常駐型のアーティファクトとバックドアがすべて削除されたとされています。

Volexityは、1台目のアプライアンスの「/tmp」フォルダー内でエクスプロイトおよび権限昇格に関連する追加ファイルを特定し、そのうちの1つ（「/tmp/hypdate.b64」）にCVE-2026-15410のエクスプロイトが含まれていることを確認しました。

「/tmp内のファイルは、アプライアンスの内部データベースサービスが使用する非特権アカウントが所有していた」と研究者は説明しています。「これは、脅威アクターがそのサービスコンテキストを通じてファイルを書き込み、おそらく実行できたことを示している」。

ログとシステムメモリのさらなる分析により、CVE-2026-15409が発見されました。これは認証前の「/wsproxy」バイパスで、認証されていない外部リクエストがアプライアンス上のlocalhost限定サービスへのWebSocketトンネルを確立できるようにするものです。具体的には、User-Agentに「SMA Connect Agent」を指定し、bmID値が-3389で始まるリクエストを発行することが含まれます。

外部アクセスは、脅威アクターが「sysCtrl」エンドポイントで定義されたメソッドにアクセスするために悪用され、SMA制御サービスにおけるコマンドインジェクション、権限昇格、コード実行の欠陥（すなわちCVE-2026-15410）を悪用することで、より深いアクセスへの道を開きます。

分析の一部として、SMA制御サービス（「ctrl-service」）への認証をバイパスできる別のセキュリティ欠陥も指摘されています。Basic認証のパスワードはアプライアンスローカルのハードウェア識別子（「/sys/class/dmi/id/product_uuid」）から導出されるため、このUUIDを知る攻撃者は認証に必要なパスワードを特定できます。

これを自明にするのは、「product_uuid」ファイルが誰でも読み取り可能であることで、非特権ユーザーが値を取得してパスワードを算出できる点です。ただし、UUID値は物理デバイスでのみ観測されるため、仮想アプライアンスは影響を受けません。

「この認証バイパスは、観測されたインシデントでは使用されなかったようだ」とVolexityは述べています。「代わりに、攻撃者は『product_uuid』ファイルを読み取る別の脆弱性を悪用した」。

さらに、UTA0533はSMAアプライアンスの一部としてインストールされ、localhost経由でアクセス可能なデータベースであるCouchDBの悪用にも結び付けられています。脅威アクターが実行した正確な操作は不明ですが、CouchDBユーザーを利用して「product_uuid」ファイルを読み取り、最終的に認証を回避した兆候が見られます。

Cybersecurity

「この機能により、攻撃者はアプライアンス上で実行されている防御が弱いサービス、例えばlocalhost:1050のErlangアプリケーションやlocalhost:8188のctrl-serviceアプリケーションに到達し、悪用できる」とRapid7は述べています。

サイバーセキュリティベンダーが公開したPoCエクスプロイトは、localhost:1050が想定するErlangプロトコルを実装し、それをWebSocket経由でトンネリングすることで、ファイルの読み書きとRPC呼び出しによる任意のコード実行を実現し、SonicWall SMA 1000デバイス上で非rootのリモートコード実行を確立します。

全体として、エクスプロイトチェーン全体は以下の通りです。

  • 「SMA Connect Agent」を含むUser-Agent文字列と「bmID=-3389」で始まるURIパラメータを指定した、認証不要の「/wsproxy」リクエストを送信する。
  • localhost限定サービスへのWebSocketトンネルを確立する。
  • CouchDBに対して呼び出しを行い、「couchdb」ユーザーとしてファイルを読み書きする。
  • 「couchdb」ユーザーとして「/tmp」にファイルを配置し、CVE-2026-15409を悪用して実行された際に「/sys/class/dmi/id/product_uuid」ファイルを読み取る。
  • CVE-2026-15410（「ctrl-service」の「remove_hotfix」ワークフローにおけるパス・トラバーサルの欠陥）を悪用してrootに昇格し、昇格した権限でコマンド実行を取得する。

「UTA0533は複数のゼロデイ脆弱性を組み合わせてSonicWall SMA VPNアプライアンスを侵害し、rootレベルのアクセスを取得した」とVolexityは述べています。「rootアクセスにより、脅威アクターは保存またはキャッシュされた認証情報にアクセスし、ネットワークトラフィックをキャプチャし、アプライアンスが処理する認証情報を傍受する可能性がある」。

「UTA0533はSonicWallアプライアンスの侵害において高い能力を示したが、横移動や他のシステムへのアクセス獲得にはあまり成功していなかったようだ」との証拠が得られています。

この記事が役に立ったと思ったら、Google News、Twitter、LinkedInでフォローして、限定コンテンツをさらにご覧ください。