SonicOSの脆弱性CVE-2026-19868｜SSLVPNのSAML回避で悪用確認、対象と修正版

CVE-2026-19868は、SonicOSのSSLVPNサービスで認証の強制が効かない脆弱性（CWE-308、単一要素の認証の使用）です。SAMLとは別の認証方式で使える正しい認証情報を持つ利用者が、SAMLの認証の制御を回避できるおそれがあり、回避に成功すると、SAMLで課している多要素認証（MFA）も回避されるおそれがあります。[1][3]

攻撃には何らかの正しい認証情報が要るため、認証なしで誰でも入れる問題ではありません。SonicWallはCVSS v3.1の基本値を7.1（攻撃の前提として低い権限が要る評価）としています。CVEの記録に米CISAが追記したCVSS v3.1は7.5（権限は不要とする評価）で、評価者によって値が違います。[1][3]

SonicWallは、この脆弱性が影響するのはSSLVPNのログインにSAMLを有効にしている場合だけとしています。[1]

告知が挙げる機種は、Gen7のハードウェア（TZ 270・270W・370・370W・470・470W・570・570W・570P・670、NSa 2700・3700・4700・5700・6700、NSsp 10700・11700・13700・15700）と仮想版のNSv 270・470・870、Gen8のハードウェア（TZ 80・280・280W・380・380W・480・580・680、NSa 2800・3800・4800・5800）と仮想版のNSv XS・S・M・Lです。仮想版は、ESX・KVM・Hyper-V・AWS・Azureの各環境が挙がっています。[1]

告知とCVEの記録が対象に挙げているのはGen7とGen8で、Gen6は対象とも対象外とも書かれていません。[1][3]

SonicWallは告知で、この脆弱性が悪用された可能性を示す報告を調べたとし、最新の版へできるだけ早く上げるよう強く求めています。告知の書き方は「悪用の可能性」で、攻撃の件数や被害の範囲は書かれていません。[1]

米CISAは2026年11月6日（米国時間）にKEVへ追加し、米連邦政府機関の対応期限を11月20日としました。ランサムウェアでの使用は「不明」で、更新の前に侵害の有無を調べる対象（Forensic Triage）には指定されていません。[2]

2026年11月9日に確認した時点で、JPCERT/CCの注意喚起の一覧にこの脆弱性はありません。

この脆弱性はSSLVPNのログインの認証で起きるため、社外から接続を受けているSSLVPNが入口になります。SSLVPNを有効にしている機器を一覧にし、そのうちログインにSAMLを使っている機器と、それぞれの世代（Gen7・Gen8）と版を確かめます。[1]

SAMLの側で多要素認証を課していても、この脆弱性ではその多要素認証も回避されるおそれがあるため、多要素認証の有無で後回しにしないことが大切です。[1]

Gen7は7.3.3-7015以前が対象で、7.3.4-7013以降で直ります。Gen8は8.2.2-8015以前が対象で、8.2.3-8015以降で直ります。仮想版のNSvも、それぞれの世代の行で判断します。[1]

同じ告知（SNWLID-2026-0014）には、管理画面の2件（CVE-2026-107155・CVE-2026-107154、CVSS 8.8）、SSL-VPNの認証前のヒープバッファオーバーフローでサービスが止まるおそれ（CVE-2026-82308）、TACACS+の認証クライアントの2件（CVE-2026-77708・CVE-2026-77709）、仮想版のパスワードの保存方式の弱さ（CVE-2026-19703）も載っていて、対象と修正版の表は共通です。[1]

SonicWallの告知に回避策はなく、回避策の欄は「None」です。更新までの間に設定で影響を避ける方法も、告知には記載がありません。[1]