--- title: "SonicWallの脆弱性CVE-2026-19868：SAML認証回避の影響確認と7.3.4・8.2.3への更新" url: "https://www.issoh.co.jp/tech/details/19457/" published: 2026-11-07 updated: 2026-11-07 categories: ["セキュリティ"] publisher: "株式会社一創" --- # SonicWallの脆弱性CVE-2026-19868：SAML認証回避の影響確認と7.3.4・8.2.3への更新 SonicWallは2026年11月6日、ファイアウォールのOSであるSonicOSの脆弱性 CVE-2026-19868 を公表しました。SSL VPNのログインにSAMLを使っている機器で、別の認証方式の正しい資格情報を持つ利用者が、SAMLとその先の多要素認証（MFA）を通らずに入れてしまうものです。米CISAは同じ日に、悪用が確認された脆弱性の一覧（KEV）へ追加しました。この記事では、影響を受ける条件の見分け方、Gen7・Gen8の版を修正版と照合するスクリプト、SAML以外のアカウントの棚卸し、更新までの対処と優先度を、実装と運用の目線で整理します。内容は2026年11月7日時点の公開情報にもとづきます。 ## まとめ：SAMLでSSL VPNを守るSonicOSは7.3.4・8.2.3へ即日更新する CVE-2026-19868の対象は、SSL VPNのログインにSAMLを有効にしたSonicOSのファイアウォールです。Gen7は7.3.3-7015以前、Gen8は8.2.2-8015以前が影響版で、修正版として7.3.4-7013と8.2.3-8015が提供されています。勧告に回避策は無く、塞ぐ手段は更新だけです。 怖いのは、MFAで守っているつもりの入口が、パスワード1つで開く点です。SonicWallは悪用の可能性を示す報告を調べたと書き、CISAはKEVに載せて連邦機関に11月20日までの対処を求めました。SAMLを使っているなら、次の保守日を待たずに今日中に更新の手配に入ってください。 更新までの間は、SSL VPNへの接続元を信頼できる範囲に絞り、SAML以外の資格情報を持つアカウントを洗い出します。社外に開いたVPN機器の版と設定をまとめて点検したい場合は、[脆弱性診断・セキュリティ診断](https://www.issoh.co.jp/service/system/vulnerability/)で範囲を決めると抜けが出にくくなります。 ## CVE-2026-19868：SSL VPNのSAML認証を別方式で回避する欠陥 SonicOSのSSL VPNは、社外の端末からNetExtenderなどのクライアントで社内へつなぐための機能です。SonicOS 7.2.0以降は、Microsoft Entra ID（旧Azure AD）などのIdPにログインを任せるSAML認証を選べます。IdP側でMFAを必須にしておけば、VPNの入口にもMFAがかかる仕組みです。 ### CWE-308の認証強制の不備とSAML有効時だけ影響する条件の読み方 [SonicWallの勧告 SNWLID-2026-0014](https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014)によれば、SSL VPNサービスの認証の強制に不備があり、別の認証方式で有効な資格情報を持つ利用者がSAMLの認証制御を回避できます。回避に成功すれば、SAMLで強制しているMFAも通らずに済みます。弱点の分類は[CWE-308（単一要素の認証の使用）](https://cwe.mitre.org/data/definitions/308.html)です。 勧告には「SSL VPNのログインにSAMLを有効にしている場合だけ影響する」と注記があります。SAMLを使わずパスワード認証で運用している機器は、この1件の条件からは外れます。ただし「別の認証方式」が何を指すのかは、勧告にも[CVEレコード](https://www.cve.org/CVERecord?id=CVE-2026-19868)にも書かれていません。ローカルユーザーなのか、LDAPやRADIUSの連携ユーザーなのかが分からないため、後の章ではその全部を確認の対象にしています。SAMLの仕組み自体は[SAMLの認証フローとIdP・SPの仕組み](https://www.issoh.co.jp/tech/details/13299/)で確認できます。 ### ベンダー7.1とCISA 7.5で分かれるCVSSとKEV登録・期限11月20日 このCVEには、出どころの違う2つのCVSSが付いています。差は「攻撃に権限が要るか」の評価だけです。 | 評価元 | 基本値 | 攻撃に要る権限 | 機密性への影響 | | --------- | --- | -------- | ------- | | SonicWall | 7.1 | 低（PR:L） | 高（C:H） | | CISA（ADP） | 7.5 | 不要（PR:N） | 高（C:H） | ベクトルはSonicWallが `AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N`、CISAがPRだけを `PR:N` に変えたものです。SonicWallは「別の方式の正しい資格情報」を攻撃者が持つ権限とみなし、CISAはVPNに入る前の段階では権限が無いとみなしたと読めます。どちらの値でも優先度は変わりません。悪用が確認されている以上、点数より[CISAのKEVカタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)への登録を重く見ます。KEVへの登録は11月6日、連邦機関の期限は14日後の11月20日です。期限の決まり方は[BOD 26-04の是正期限の決まり方](https://www.issoh.co.jp/tech/details/18233/)で、各指標の読み方は[CVSSv3の計算式とスコアの目安](https://www.issoh.co.jp/tech/details/5094/)で解説しています。[NVD](https://nvd.nist.gov/vuln/detail/CVE-2026-19868)は11月7日時点で分析中の状態です。 ### 同じ勧告で直る管理画面の脆弱性など残り6件のCVEと更新の範囲 SNWLID-2026-0014はCVE-2026-19868だけの勧告ではありません。SonicOSの7件の脆弱性をまとめたもので、修正版も共通です。 - CVE-2026-107155・CVE-2026-107154：管理画面の緩いクロスドメイン方針とセッション検証の不備。どちらもCVSS 8.8で、勧告の中で最も高い - CVE-2026-82308：認証前のSSL VPNのヒープバッファオーバーフローで、サービス停止を招く（CVSS 7.5） - CVE-2026-77708・CVE-2026-77709：TACACS+の認証クライアントの認証前バッファオーバーフロー（CVSS 5.9） - CVE-2026-19703：仮想アプライアンスNSvのパスワードハッシュが弱い問題（CVSS 5.2） SAMLを使っていない機器でも、管理画面やSSL VPNをインターネットへ開いていれば、残りの6件が当たります。更新するかどうかをCVE-2026-19868の条件だけで決めないでください。 ## 影響範囲の確認：Gen7・Gen8の版とSSL VPNのSAML設定を照合する手順 勧告の影響製品は、Gen7のTZ・NSa・NSspとNSv、Gen8のTZ・NSaとNSvです。SMA100やSMA1000といったSSL VPN専用機は一覧に入っていません。確認は、SAMLの設定と版の2点で足ります。 ### SSL VPNのSAML利用条件をプロファイルと認証方式で確かめる管理画面 SAMLを使っているかは、管理画面の2か所で分かります。[SonicWallのKB（Azure ADを使うSSL VPNのSAML設定）](https://www.sonicwall.com/support/knowledge-base/how-to-configure-saml-sso-on-firewall-for-sslvpn-login-using-azure-ad-as-idp/kA1VN0000000NSr0AM)の手順をなぞると、次のとおりです。 1. Device | Users > Settings の SAML CONFIGURATION に、サービスにSSL VPNを選んだ SAML Service Provider と SAML Profile があるか見る 2. SAML Profile で「Enable on this profile for SSL VPN」が有効になっているか見る 3. Network | SSL VPN > Server Settings の Authentication Type が SAML になっているか見る 3つ目がSAMLなら、今回の条件に当たります。[SonicOS 7.3のServer Settingsの説明](https://www.sonicwall.com/support/technical-documentation/docs/sonicos-7-3-ssl%5Fvpn/Content/ssl-vpn-configuring-server.htm)では、同じ画面でSSL VPNを有効にしたゾーンが緑で示されます。WANゾーンが緑なら、ログイン画面はインターネットから届く状態です。KBではSAML 2.0への対応はSonicOS 7.2.0からとされており、7.1以前の機器はSAMLを設定できないため、この1件の条件には当たらないと読めます。 ### 資産台帳CSVを修正版7.3.4-7013・8.2.3-8015と照合するPython SonicOSの版は「7.3.3-7015」のように、3桁の版とビルド番号の組で表されます。台数が多いときは、資産台帳から機器名・版・SAMLの有無・WAN公開の有無をCSVに書き出し、次のスクリプトで判定します。 ``` import csv import re import sys # SNWLID-2026-0014 の最初の修正版（世代ごと） FIXED = {"7": (7, 3, 4, 7013), "8": (8, 2, 3, 8015)} def parse(ver): # 「7.3.3-7015」「SonicOS 7.3.3-7015-R1234」などから数値の組を取り出す m = re.search(r"(? 版を読めない（手で確認）") continue fixed = FIXED.get(str(ver[0])) if fixed is None: verdict = "Gen7・Gen8以外（本勧告の対象外。別の勧告を確認）" elif ver < fixed: verdict = "影響版（%d.%d.%d-%d以上へ更新）" % fixed else: verdict = "修正版以上" saml = row.get("sslvpn_saml", "").strip().lower() == "yes" exposed = row.get("sslvpn_wan", "").strip().lower() == "yes" if verdict.startswith("影響版") and saml and exposed: verdict += " ★SAML有効かつWAN公開：最優先" print(row["name"], row["version"], "->", verdict) ``` CSVの1行目は `name,version,sslvpn_saml,sslvpn_wan` とし、`python sonicos_check.py inventory.csv` で実行します。2026年11月7日にサンプルの台帳で動かし、7.3.3-7015でSAML有効・WAN公開の行が「最優先」、8.2.3-8015が「修正版以上」、Gen6の「6.5.4.15-116n」が「版を読めない」になることを確かめました。版を文字列のまま比べると「7.3.10」が「7.3.4」より小さいと判定されるため、数値の組に分けてから比べています。 ### 勧告のJSONとKEVのフィードから修正版と期限を取り出して記録する方法 SonicWallの勧告ページはJavaScriptで本文を描くため、ページを取得しても本文が入っていません。ページが内部で呼んでいる[勧告のJSON](https://psirtapi.global.sonicwall.com/api/v1/vulndetail/?advisory%5Fid=SNWLID-2026-0014)なら、修正版の表や回避策の有無を機械的に取れます。公開仕様のあるAPIではないため、項目名が変われば直す前提で使います。 ``` import html import json import re import urllib.request ADV = "SNWLID-2026-0014" CVE = "CVE-2026-19868" # 勧告ページ（psirt.global.sonicwall.com）が内部で呼んでいるJSON API PSIRT = "https://psirtapi.global.sonicwall.com/api/v1/vulndetail/?advisory_id=" + ADV KEV = "https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json" def fetch(url): req = urllib.request.Request(url, headers={"User-Agent": "Mozilla/5.0"}) with urllib.request.urlopen(req, timeout=30) as r: return json.load(r) def text(fragment): # HTML断片をタグ抜きの1行にする return re.sub(r"\s+", " ", html.unescape(re.sub(r"<[^>]+>", " ", fragment or ""))).strip() adv = fetch(PSIRT) print(adv["advisory_id"], adv["published_when"], "最終更新", adv["last_updated_when"]) print("CVE:", adv["cve"]) print("回避策あり:", adv["is_workaround_available"]) print("修正版:", text(adv["fixed_software"])) kev = fetch(KEV) print("KEV版:", kev["catalogVersion"]) for v in kev["vulnerabilities"]: if v["vendorProject"] == "SonicWall" and v["dateAdded"] >= "2026-01-01": mark = " <- 今回" if v["cveID"] == CVE else "" print(v["cveID"], v["product"], "登録", v["dateAdded"], "期限", v["dueDate"], mark) ``` 2026年11月7日の実行では、回避策は「False」、修正版は「7.3.4-7013 and higher versions」と「8.2.3-8015 and higher versions」と出ました。[KEVのJSONフィード](https://www.cisa.gov/sites/default/files/feeds/known%5Fexploited%5Fvulnerabilities.json)は2026.11.06版で、SonicWall製品の2026年の登録は今回を含め5件です。残り4件はSMA1000で、期限はいずれも登録の3日後でした。最終更新の日時を毎日記録しておけば、勧告の改訂にも気づけます。 ## 更新までの対処：SAML以外の資格情報を持つアカウントの棚卸しと接続元の制限 勧告は回避策を「None」としています。ここで挙げる対処は、更新が済むまでの被害を小さくするための私たちの判断で、穴そのものは塞がりません。 ### ローカルユーザーとLDAP・RADIUS連携をSAML回避の入口として棚卸しする手順 攻撃に要るのは「別の認証方式で有効な資格情報」です。逆に言えば、SAML以外の方法でログインできるアカウントが、そのまま認証回避に使われる入口の候補になるということです。[Server Settingsの説明](https://www.sonicwall.com/support/technical-documentation/docs/sonicos-7-3-ssl%5Fvpn/Content/ssl-vpn-configuring-server.htm)には、Device | Users > Settings でRADIUSやLDAPを設定した場合の項目も載っています。SAMLへ切り替える前に使っていた認証の設定が残っていないかも、あわせて確かめます。 - Device | Users のローカルユーザーのうち、SSL VPNの利用を許すグループ（既定は SSLVPN Services）に入っているもの - LDAPやRADIUSの連携が残っている場合、その先のディレクトリでSSL VPNのグループに当たるアカウント - 退職者や委託先の古いアカウント、共有のテスト用アカウント 見つけたアカウントは、不要なら消し、残すならパスワードを長く推測しにくいものへ変えます。どの方式が「別の認証方式」に当たるかは勧告に書かれていないため、ここで範囲を広めに取っているのは、確認対象の漏れを避けるためです。MFAの仕組みと、パスワードだけに頼る入口が抱える弱さは[多要素認証（MFA）の3要素と実装方式](https://www.issoh.co.jp/tech/details/13314/)で整理しています。 ### SSL VPNを信頼できる接続元へ絞る暫定策と無効化を選ぶ基準 SonicWallは過去のSSL VPNの勧告で、[SNWLID-2024-0015](https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2024-0015)や[SNWLID-2025-0003](https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2025-0003)の回避策として、SSL VPNへの接続を信頼できる接続元に限るか、インターネットからのSSL VPNを無効にすることを挙げていました。今回の勧告には書かれていませんが、同じ考え方は効きます。 判断の基準は単純です。拠点や委託先の固定IPから接続するだけなら、接続元を絞って更新まで運用を続けます。在宅勤務の利用者が自宅回線から入る構成では接続元を絞れないため、その日の利用を止めてでもSSL VPNを無効にするか、更新を先に済ませます。中途半端な絞り込みで様子を見る選択は採りません。 社外に開いたVPNの入口そのものを減らす方向で考えるなら、[ゼロトラストネットワーク（ZTNA）とVPNの違いと製品選定](https://www.issoh.co.jp/column/details/13099/)も判断材料になります。 ## 侵害を疑うときの初動とSonicWallを更新する優先度の判断 認証を回避された場合、機器は止まらず、正規の利用者がログインしたのと同じ記録が残ります。DoSの脆弱性と違い、何も起きていないように見えるのが厄介な点です。 ### SSL VPN Statusの接続元とMFAを経ないログインの痕跡を見る手順 [SonicOS 7.3のSSL VPN Statusの画面](https://www.sonicwall.com/support/technical-documentation/docs/sonicos-7-3-ssl%5Fvpn/Content/ssl-vpn-view.htm)には、接続中のNetExtenderのセッションごとに、ユーザー名・割り当てた仮想IP・接続元のWAN IP・ログイン時間が出ます。まずここで、見覚えのないユーザー名や国外の接続元が無いかを見ます。 次に、IdP側のサインイン記録と突き合わせます。SAMLで入った利用者なら、同じ時刻にIdPのサインインとMFAの記録があるはずです。SonicWallのログにSSL VPNのログインがあるのに、IdPに対応する記録が無ければ、SAMLを経ずに入った疑いがあります。勧告は侵害の痕跡（IOC）を示していないため、この突き合わせが現時点で取れる数少ない手がかりです。社内のデータに触れられた疑いが出た場合は、[個人情報保護委員会への報告義務と期限](https://www.issoh.co.jp/column/details/17840/)も並行して確かめてください。 ### 2024年のCVE-2024-40766から続くSSL VPN攻撃と更新の優先度 SonicOSのSSL VPNは、攻撃者に繰り返し狙われてきた入口です。KEVには、2024年9月に登録されたCVE-2024-40766（アクセス制御の不備）と、2025年2月のCVE-2024-53704（SSL VPNの認証回避）があり、どちらもランサムウェアでの使用が「Known」とされています。 最優先は、SAMLを有効にし、SSL VPNのログイン画面がインターネットから届くGen7とGen8です。今日のうちに更新の手配に入ります。次がSAMLを使っていない影響版の機器で、管理画面やSSL VPNを外に開いているなら残り6件のCVEを理由に今週中に上げます。Gen6以前は本勧告の一覧に載っていませんが、載っていないことは安全を意味しません。過去の勧告で影響を受けた世代なので、版と過去の修正の適用状況を別に確かめてください。 SonicWall以外のVPN機器も含めて、版をKEVと突き合わせる仕組みを社内に作るなら、[VPN機器の版確認コマンドとKEV照合スクリプト](https://www.issoh.co.jp/tech/details/18740/)が土台になります。点検の範囲を決めて外部に任せる場合の進め方は、[脆弱性診断の種類と進め方・外注時の判断基準](https://www.issoh.co.jp/column/details/13101/)で確認できます。 ## SonicWallのCVE-2026-19868対応でよく受ける質問と回答 CVE-2026-19868の対応を進める中で出てきやすい疑問に、公開されている一次情報の範囲で答えます。 ### SAMLを使わずパスワード認証だけのSonicWallは更新しなくてもよいですか？ CVE-2026-19868の条件からは外れますが、更新は必要です。同じ勧告SNWLID-2026-0014には、管理画面の脆弱性2件（CVSS 8.8）や、認証前にSSL VPNを止められる脆弱性（CVSS 7.5）が含まれ、修正版は共通の7.3.4-7013と8.2.3-8015です。管理画面やSSL VPNをインターネットに開いているなら、SAMLの有無にかかわらず上げてください。 ### MFAを必須にしているのに、なぜ回避されるのですか？ MFAをかけているのがIdP側だからです。SAML認証では、ファイアウォールが利用者をIdPへ送り、IdPがパスワードとMFAを確かめます。今回の欠陥は、別の認証方式の資格情報で、このIdPへの経路そのものを通らずにログインできるものです。IdPに届かないので、そこで設定したMFAも働きません。 ### JPCERT/CCの注意喚起やCISAのKEV登録は出ていますか？ 2026年11月7日の確認では、[JPCERT/CCの2026年の注意喚起一覧](https://www.jpcert.or.jp/at/2026.html)に本件はありません。CISAのKEVには11月6日に登録済みで、連邦機関の期限は11月20日です。国内の注意喚起を待ってから動くと、KEVの期限より遅れる可能性があります。KEV登録を合図に動くほうが確実です。 ### Gen8の8.0系や8.1系はどの版へ上げればよいですか？ 勧告の影響版はGen8の「8.2.2-8015以前」で、修正版は「8.2.3-8015以上」の1行だけです。8.0系や8.1系の修正版は示されていないため、8.2.3-8015以上へ上げることになります。系列をまたぐ更新は設定の移行や管理ツールの対応版にも関わるため、通常の更新より検証の時間を多めに取ってください。 ### SMA100やSMA1000のSSL VPN専用機も対象ですか？ SNWLID-2026-0014の影響製品はSonicOSのGen7・Gen8のファイアウォールだけで、SMA100とSMA1000は入っていません。ただしSMA1000は、2026年7月と9月に別の脆弱性がKEVに登録されています。SMAを使っている組織は、そちらの勧告の修正が済んでいるかを別に確かめてください。 ## 関連記事 - [VPN 脆弱性：機器の版確認コマンドとKEV照合スクリプト・パッチと移行の判断【2026年10月】](https://www.issoh.co.jp/tech/details/18740/)：SonicWallを含むVPN機器全体の版確認とKEV照合の進め方です。 - [Cisco ASAの脆弱性CVE-2026-76418：二次認証の設定確認と8月修正版からの再更新](https://www.issoh.co.jp/tech/details/19081/)：同じくVPNの認証設定が条件になる、悪用済みの脆弱性への対応です。 - [WatchGuardの脆弱性17件：Fireboxの版確認と2026.4・12.12.4への更新判断【2026年10月】](https://www.issoh.co.jp/tech/details/19083/)：複数のCVEをまとめた勧告を、版の照合で整理した例です。 - [Sophos UTM 脆弱性：CVE-2026-118633の影響確認と手動パッチ・EOL後の移行判断【2026年10月】](https://www.issoh.co.jp/tech/details/19086/)：古い世代の機器を使い続けるかの判断まで扱っています。 - [EC-CUBE 4系のMFAバイパス脆弱性CVE-2026-30777とは｜影響版の確認と修正ファイルの適用手順](https://www.issoh.co.jp/tech/details/11295/)：MFAを通らずにログインされる種類の脆弱性を、Webアプリの側から扱っています。 --- 出典: [SonicWallの脆弱性CVE-2026-19868：SAML認証回避の影響確認と7.3.4・8.2.3への更新]()（株式会社一創）