SonicWall SSL-VPNの脆弱性｜多要素認証を回避される条件と確認点
この記事の要点
- SonicWallは2026年11月6日、SSL-VPNで、SAML以外の認証方式の有効な認証情報を持つ利用者が、SAMLの認証とSAMLで強制した多要素認証を回避できるおそれがある脆弱性（CVE-2026-19868）を公表しました。
- 影響を受けるのは、SSL-VPNのログインにSAMLを有効にしている機器だけです。Gen7は7.3.3-7015以前、Gen8は8.2.2-8015以前が対象で、回避策はありません。
- SonicWallは悪用の可能性を示す報告を調査したとし、米CISAは同日、悪用を確認した脆弱性の一覧（KEV）に追加しました。
- 更新に加えて、SAML以外でSSL-VPNにログインできるアカウントが残っていないかを確かめてください。SonicWallは「別の認証方式」が何かを示していませんが、編集部はローカルユーザーやLDAP・RADIUSが該当しうると見ています。
SonicWallのファイアウォールでSSL-VPNを使い、ログインをSAML（Microsoft Entra IDなどの認証基盤に任せる仕組み）にして多要素認証を強制している企業は、「多要素認証を入れているから大丈夫」とは言えなくなりました。SonicWallは2026年11月6日、別の認証方式の有効な認証情報があれば、SAMLとSAMLで強制した多要素認証を回避されるおそれがある脆弱性を公表しています[1]。
米CISAは同じ日に、この脆弱性を悪用が確認された脆弱性の一覧に加えました[2]。警察庁が被害組織に行ったアンケートでは、ランサムウェアの侵入経路の約5割がVPN機器でした[9]。
この記事では、自社の機器が対象になる条件、更新とあわせて確認するログイン経路、2025年にSonicWallのSSL-VPNが狙われた事例から分かる注意点を順に整理します。情報は2026年11月9日時点のものです。
自社のSonicWallは対象か？
対象になるのは、SSL-VPNのログインにSAMLを有効にしていて、SonicOSが修正前のバージョンの機器です。SAMLを使っていなければ今回の脆弱性の影響は受けません[1]。ただし同じアドバイザリには管理画面やSSL-VPNの別の脆弱性も含まれるため、SAMLを使っていなくても修正版への更新は必要です[1]。
| 自社の状況 | 判定 | やること |
|---|---|---|
| SSL-VPNでSAMLを有効にしている／Gen7で7.3.3-7015以前、またはGen8で8.2.2-8015以前 | 対象[1] | 修正版へ更新し、SAML以外でログインできるアカウントを洗い出す |
| SSL-VPNでSAMLを有効にしている／修正版（7.3.4-7013以降、8.2.3-8015以降） | 修正済み[1] | 更新前にSAML以外の経路でログインされていないかをログで確認 |
| SSL-VPNは使っているがSAMLは使っていない | 今回のCVEは対象外[1] | 同じアドバイザリの他の脆弱性のため、修正版へ更新 |
| SSL-VPNを使っていない | 今回のCVEは対象外[1] | 管理画面の脆弱性があるため、修正版へ更新 |
| SonicWallかどうか、設定がどうなっているか分からない | 判断できない | 設置業者・保守ベンダーに型番、バージョン、SSL-VPNの認証方式を問い合わせる |
2026年11月9日時点。対象の型番はSonicWallのアドバイザリSNWLID-2026-0014で確認してください。
対象の型番は、Gen7がTZ 270〜670、NSa 2700〜6700、NSsp 10700〜15700と仮想版のNSv 270/470/870、Gen8がTZ 80〜680、NSa 2800〜5800と仮想版のNSv XS/S/M/Lです。仮想版はESX・KVM・Hyper-V・AWS・Azureのいずれで動かしていても対象です[1]。
SAMLを使っているかどうかは、SSL-VPNの認証の種類で分かります。SonicOS 7.2の手順書では、「SSL VPN > Server Settings」で認証の種類をSAMLにし、SAMLプロファイルを1つ有効にする手順が示されています[4]。バージョンによって画面の名前が違う場合は、保守ベンダーに確認してください。
何が公表されたのか？
SonicWallは2026年11月6日、ファイアウォール用OS「SonicOS」の7件の脆弱性をまとめたアドバイザリ（SNWLID-2026-0014）を公開しました[1]。このうちSSL-VPNの認証に関わるCVE-2026-19868について、悪用の可能性を示す報告を調査したとして、早急な更新を強く求めています[1]。
11月6日
SonicWallがアドバイザリを公開
SonicOSの脆弱性7件と修正版を公表。CVE-2026-19868について、悪用の可能性を示す報告を調査したと明記[1]。
11月6日
CISAがKEVに追加
悪用が確認された脆弱性の一覧に追加。米連邦機関の対応期限は11月20日[2]。
11月6〜7日
NVDに登録
NVDに登録され、翌日までにCISAによる評価（CVSS 7.5）が付いた。NVD自身の分析は2026年11月9日時点で実施中[3]。
11月9日
国内でも報道
Security NEXTが、SSL VPNでSAML認証を有効化している環境が影響を受けると報じた[10]。
SonicOSのSSLVPNサービスの認証強制の脆弱性により、別の認証方式の有効な認証情報を持つ利用者が、SAMLの認証制御を回避できるおそれがある。悪用に成功すると、SAMLで強制した多要素認証（MFA）も回避されるおそれがある。
An authentication enforcement vulnerability in SonicOS SSLVPN service may allow a user with valid credentials for an alternate authentication method to bypass SAML authentication controls. Successful exploitation may also bypass SAML-enforced multi-factor authentication (MFA).
深刻度の評価は、SonicWallがCVSS v3.1で7.1、NVDに載っているCISAの評価が7.5です。違いは、攻撃に必要な権限を「低い（何らかの認証情報が必要）」と見るか「不要」と見るかにあります[1][3]。分類はCWE-308（単一要素認証の使用）で、多要素認証のはずが1つの要素で通ってしまう問題として整理されています[1]。
同じアドバイザリで最も深刻なのは、管理画面の2件（CVE-2026-107155、CVE-2026-107154、いずれもCVSS 8.8）です。特定の条件で、認証なしの攻撃者が不正な操作を行えるおそれがあります[1]。SSL-VPNには、認証前にサービスを停止させられるバッファオーバーフロー（CVE-2026-82308、CVSS 7.5）もあります[1]。
なぜ多要素認証が回避されるのか？
SonicWallの説明は、SAML以外の認証方式の有効な認証情報を持つ利用者が、SAMLの認証制御と、SAMLで強制した多要素認証を回避できるおそれがある、というものです[1]。SAMLを有効にしていても、SSL-VPNが別の認証方式での認証を通してしまう不具合と読めますが、仕組みの詳細は公表されていません。どの認証方式が「別の認証方式」にあたるのかも、具体的には示されていません[1]。
SonicOSは、利用者の認証にローカルのユーザーデータベース、LDAP、RADIUS、ローカルとLDAPまたはRADIUSの組み合わせ、外部の認証基盤を使うSAMLのいずれも使えます[5]。また、VPN接続ソフトのNetExtenderでは、接続を追加するときに「Domain」の選択肢からSAMLを選ぶ手順になっています[4]。
攻撃者が「別の認証方式の有効な認証情報」を持っていることが前提なので、パスワードの使い回しや過去の漏えいが入口になりえます。警察庁も、ランサムウェアの攻撃者は未修正のぜい弱性や漏えいした認証情報などを悪用してネットワークに侵入するとしています[9]。
2025年の攻撃から何が分かるか？
SonicWallのSSL-VPNは、2025年8月にも攻撃の標的になりました。SonicWallは当時、新しい脆弱性ではなく、2024年に公表済みの脆弱性（CVE-2024-40766）と強く関係していると説明しています[6]。関連する技術情報では、この時期の設定上の弱点をAkiraランサムウェアの攻撃と結び付けて説明しています[7]。2025年の事案では、移行で残ったアカウントとパスワードが問題の中心でした。
事案の多くは、Gen 6からGen 7のファイアウォールへの移行に関係している。移行の際にローカルユーザーのパスワードが引き継がれ、変更されていなかった。
Many of the incidents relate to migrations from Gen 6 to Gen 7 firewalls, where local user passwords were carried over during the migration and not reset.
SonicWallは当時、調査中の事案は40件未満だとしていました[6]。同社はSSL-VPNを使えるローカルユーザーのパスワード変更、使っていないアカウントの削除、多要素認証と強いパスワードの徹底、アカウントロックアウトの有効化、ボットネットとGeo-IPのフィルタを勧めました[6]。SonicOS 7.3では、パスワードと多要素認証の総当たりに対する防御も強化されています[6]。
LDAP連携にも注意点があります。LDAPの「既定のユーザーグループ」をSSL-VPNを使えるグループにしていると、Active Directoryで有効な認証情報を持つ人なら、本来の役割に関係なく全員がVPNを使えてしまいます。SonicWallはこの設定を「None」にするよう勧めています[7]。
今すぐやることは何か？
今週中に、SonicOSを修正版（Gen7は7.3.4-7013以降、Gen8は8.2.3-8015以降）へ更新してください。回避策はないため、更新が唯一の根本対策です[1]。あわせて、SAML以外でSSL-VPNにログインできるアカウントを洗い出し、不要なものを消します。
今週中に確認すること
- 社内のSonicWallの型番とSonicOSのバージョンを確認し、Gen7は7.3.4-7013以降、Gen8は8.2.3-8015以降へ更新する
- 「SSL VPN > Server Settings」で、SSL-VPNの認証の種類がSAMLになっているかを確認する
- SSL-VPNを使えるローカルユーザー、LDAP・RADIUSのアカウントやグループを一覧にし、使っていないものを削除する
- 残すローカルユーザー（管理者の非常用など）はパスワードを変更し、誰が使うのかを記録する
- LDAP連携の「既定のユーザーグループ」がSSL-VPNを使えるグループになっていないかを確認し、「None」にする
- VPNの接続ログと、Microsoft Entra IDなど認証基盤のサインイン記録を突き合わせ、認証基盤を通っていないVPN接続がないかを確認する
- アカウントロックアウト、ボットネットとGeo-IPのフィルタが有効かを確認する
- 管理画面がインターネット側（WAN）から接続できる状態になっていないかを確認する
ログの突き合わせは編集部の提案です。SAMLでログインした接続なら、同じ時刻に認証基盤側にもサインインの記録が残るはずです。VPNには接続記録があるのに認証基盤に記録がない接続があれば、SAML以外の経路で入った可能性があるため、保守ベンダーと調べてください。
Gen8向けの8.2.3では、新しく設置した機器で、初回ログイン時に管理者の2要素認証が既定で有効になり、管理者はワンタイムパスワード（TOTP）の登録を案内されます。リモートアクセスの利用者にも登録が強く勧められています。一方、旧版から更新した機器は既存の認証設定を引き継ぐため、多要素認証を使うには管理者が有効にする必要があります[8]。今回の脆弱性の修正とは別の機能で、更新しただけで認証の設定が強くなるわけではありません。8.2.3には、WAN側で管理画面が有効になっていることなどを検出する「Security Insights」も加わっています[8]。
中長期で何を見直すべきか？
中長期では、VPNのログイン経路とアカウントを、機器の型番やバージョンと同じ台帳で管理することが必要です。2025年の攻撃も今回の脆弱性も、SAMLや多要素認証とは別の、有効な認証情報が入口になりうる点で共通しています[1][6]。編集部の見方では、どのアカウントが残っているかを把握しておくことが、両方への備えになります。
- ログイン経路を台帳に書く：SAML・ローカルユーザー・LDAP・RADIUSのうち、どれを有効にしているかと、その理由を記録する
- 非常用アカウントを管理する：残すアカウントは数を絞り、パスワードの保管場所と使った記録を決める
- 機器の入れ替えでパスワードを変える：2025年の事案の多くは、移行で引き継いだパスワードを変えていなかったことに関係していました[6]
- 接続元を絞る：SSL-VPNに接続できる国や送信元を、業務に必要な範囲に限る[6]
- 脆弱性情報の受け取り口を決める：SonicWallのアドバイザリ、CISAのKEV、JVNなどを誰が見て判断するかを決める
VPN・ファイアウォールの脆弱性は特定のメーカーに限った話ではありません。境界機器を一覧にして更新を管理する考え方は、VPN・ファイアウォールの脆弱性が相次いだ10月の解説でも整理しています。
AIツールのシングルサインオンでも同じ点を確認する
生成AIのサービスを、Microsoft Entra IDなどのシングルサインオンでまとめて管理する企業もあります。このとき、シングルサインオンとは別に、メールアドレスとパスワードでのログインや、個人で作ったアカウントが残っていれば、認証基盤の多要素認証やアクセス制御を通らずに使われるおそれがあります。今回の脆弱性は製品の不具合ですが、「入口を1つにしたつもりで、別の入口が残っている」という構図は設定でも起こります。AI利用全体のリスクはAIセキュリティとはで整理しています。
まとめ
SonicWallは2026年11月6日、SSL-VPNで、SAML以外の認証方式の有効な認証情報があると、SAMLの認証とSAMLで強制した多要素認証を回避されるおそれがある脆弱性CVE-2026-19868を公表し、CISAは同日にKEVへ追加しました[1][2]。対象は、SSL-VPNのログインにSAMLを有効にしている、Gen7の7.3.3-7015以前とGen8の8.2.2-8015以前の機器で、回避策はありません[1]。
今週やることは、修正版への更新と、SAML以外でSSL-VPNにログインできるアカウントの洗い出しです。多要素認証は、それを通らないログイン経路が残っていると効果が薄れます。設定の画面だけでなく、実際にログインできる経路とアカウントを数えてください。よくある質問はFAQもあわせてご覧ください。
よくある質問
CVE-2026-19868はどのような脆弱性ですか？
SonicWallのファイアウォール用OS「SonicOS」のSSL-VPNにある脆弱性です。SAML以外の認証方式の有効な認証情報を持つ利用者が、SAMLの認証を回避できるおそれがあり、SAMLで強制した多要素認証も回避されるおそれがあります。SonicWallは悪用の可能性を示す報告を調査したとしており、米CISAは悪用を確認した脆弱性の一覧に追加しています。
SAMLを使っていなければ対応は不要ですか？
CVE-2026-19868の影響は、SSL-VPNのログインにSAMLを有効にしている場合に限られます。ただし同じアドバイザリでは、管理画面で、特定の条件のもとで認証なしに不正な操作をされるおそれがある脆弱性（CVSS 8.8）などもあわせて公表されているため、SAMLを使っていなくても修正版への更新は必要です。
修正版はどのバージョンですか？
Gen7のファイアウォールと仮想版NSvは7.3.4-7013以降、Gen8のファイアウォールと仮想版NSvは8.2.3-8015以降です。SonicWallは回避策を示していないため、修正版への更新が根本対策です。
多要素認証を入れていれば、VPNは安全ではないのですか？
多要素認証は有効な対策ですが、それを通らないログイン経路が残っていると効果が薄れます。今回の脆弱性は、SAML以外の認証方式の有効な認証情報があれば、SAMLで強制した多要素認証を回避されるおそれがあるものです。SonicWallは該当する方式を示していませんが、編集部はローカルユーザーやLDAPなどが当たりうると見ています。修正版へ更新したうえで、SAML以外でログインできるアカウントが残っていないかを確認してください。
攻撃を受けたかどうかは、どう確認すればよいですか？
SonicWallは侵害の痕跡の見つけ方を示していません。編集部としては、VPNの接続ログとMicrosoft Entra IDなど認証基盤のサインイン記録を突き合わせ、認証基盤を通っていない接続がないかを確認することを勧めます。不審な接続があれば、保守ベンダーに調査を依頼し、該当するアカウントのパスワードを変更してください。
出典・参考資料
- 注意喚起SONICWALL SONICOS AFFECTED BY MULTIPLE VULNERABILITIES (SNWLID-2026-0014)
- 注意喚起Known Exploited Vulnerabilities Catalog
- 注意喚起CVE-2026-19868 Detail
- 公式発表Using SAML Single Sign-On for Remote Access VPN (SSLVPN) - SonicOS 7.2 SAML Feature Guide
- 公式発表About User Management - SonicOS 7.3 Users
- 公式発表Gen 7 and newer SonicWall Firewalls – SSLVPN Recent Threat Activity
- 公式発表LDAP configuration - SSLVPN Default User Groups Security Risk
- 公式発表Version 8.2.3-8015 - SonicOS 8 Release Notes
- 調査レポート令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について
- 記事「SonicOS」のSSL VPNに認証回避の脆弱性 - 悪用報告も
本記事の事実関係は、2026.11.09 時点で上記の出典をすべて再確認しています。 独立したファクトチェックで修正16件・要注記5件を反映。日付は米国時間。修正版・対象条件・悪用状況は変わる可能性があります。最新の情報はSonicWallのアドバイザリSNWLID-2026-0014とCISAのKEVを確認してください。
AIセキュリティの基本は「AIセキュリティとは」で解説しています。
