SonicWall GMSにCVE-2026-109593——未認証で情報露出、修正版へ更新を

公開日：2026年11月9日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2026-109593とは——SonicWall GMS 9.5.2以前に影響する未認証情報露出

2026年11月3日、SonicWallのPSIRT（製品セキュリティインシデント対応チーム）が、同社のネットワーク統合管理製品「Global Management System（GMS）」に影響する脆弱性CVE-2026-109593を公開した（出典：SonicWall PSIRT SNWLID-2026-0019）。

CVE公式記録（cve.org）によれば、GMS 9.5.2以前の全バージョンが対象であり、ネットワーク経由でアクセスできる未認証の攻撃者が、GMSの内部ファイルを読み取ることができる状態を生じさせる。認証を一切要求しない点が、この脆弱性の核心にある。

CISA-ADPによる評価では、CVSS 3.1スコアは9.1（CRITICAL）。ベクターはCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:Hで、攻撃の複雑さは低く、特権も利用者操作も必要としない構成になっている。機密性（C）への影響が「High」と評価されている。弱点の種類はCWE-636（Not Failing Securely）——セキュリティ上の失敗が安全な状態に帰結しない設計上の問題——に分類されている。

CISAの既知悪用脆弱性カタログ（KEV）への掲載は、2026年11月4日時点では確認されていない。

図：CVE-2026-109593の攻撃経路。未認証の攻撃者がネットワーク経由でSonicWall GMS 9.5.2以前にアクセスし、内部ファイルを読み取ることで機密情報が露出する流れ。CVSS 3.1スコア9.1（CRITICAL）はCISA-ADPによる評価値。

影響範囲・CVSSの詳細と脆弱性の構造

CVE-2026-109593の主要パラメータをまとめると以下のとおりである。

表：CVE-2026-109593の基本情報（出典：cve.org・NVD）
項目	内容
CVE ID	CVE-2026-109593
対象製品	SonicWall Global Management System (GMS)
影響を受けるバージョン	9.5.2以前の全バージョン
対象OS	Windows、Linux
CVSS 3.1 スコア	9.1（CRITICAL）（評価者：CISA-ADP）
CVSS ベクター	`AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H`
脆弱性の種類（CWE）	CWE-636（Not Failing Securely）
CVE公開日	2026年11月3日
CISA KEV掲載	掲載なし（2026年11月4日時点）
採番元CNA	SonicWall

CVSSベクターを読み解くと、攻撃者はネットワーク（AV:N）越しに特権なし（PR:N）・操作誘導なし（UI:N）で攻撃でき、機密性（C:H）に高い影響が及ぶと評価されている。整合性（I）への影響は評価されていない（I:N）ため、ファイルの書き換えや改ざんとは性質が異なり、読み取り・情報露出が主軸であることが分かる。

CWE-636（Not Failing Securely）は、エラーや境界条件で処理が失敗した際に安全側へ帰結しない設計上の問題を分類するものである。ベンダー告知に実装の詳細は開示されていないため、根本原因の断定はできない。

次に読む：PAN-OSのCVE-2026-0322、更新は急ぐ？

PAN-OS管理画面にRCE脆弱性CVE-2026-0322、悪用確認で更新急げ

現時点で確認が必要な対応と注意点

SonicWall PSIRTの告知（SNWLID-2026-0019）に基づき、現時点での対応ポイントは以下のとおりだ。

修正版への更新。SonicWall GMS 9.5.2以前を使用している場合は、SonicWallが公開する修正版へ更新する。配布パッケージの版は、SonicWallの公式告知が示す修正版で判断すること。

公式回避策について。本記事の執筆時点で、SonicWallの告知に公式の回避策（ワークアラウンド）は明記されていない。修正版への更新が実施できない場合は、SonicWallの公式告知を継続的に確認し、追加情報が公開されたときに対応方針を再評価する必要がある。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

参考文献

SonicWall PSIRT「SNWLID-2026-0019」https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0019
CVE Program「CVE-2026-109593」https://www.cve.org/CVERecord?id=CVE-2026-109593
NVD「CVE-2026-109593」https://nvd.nist.gov/vuln/detail/CVE-2026-109593
CISA Known Exploited Vulnerabilities Catalog https://www.cisa.gov/known-exploited-vulnerabilities-catalog

重大な脆弱性が出たら、メールでお知らせします

悪用が確認された重大な脆弱性が出たときだけ送ります（頻繁には送りません）。無料・配信停止はメール内のリンクからいつでもできます。

脆弱性への対応・AIセキュリティでお困りの方へ

クリスタルメソッドは、脆弱性情報の監視とお知らせ、AIセキュリティのご相談、AIを業務に取り入れる際のセキュリティを学ぶ研修をお受けしています。「使っている製品が対象か分からない」「社内でAIを使うときの注意点を整理したい」といった段階からご相談いただけます。

無料相談・お問い合わせ：ご相談はこちら
提供内容と料金：脆弱性の監視サービス

監修

河合継（クリスタルメソッド株式会社代表取締役）

AI・ディープラーニングに関する特許16件の発明者。過去、国立がん研究センターとの共同研究や、テレビ番組でのAI解説実績を持つAI研究者として、AIの研究開発を主導している。
運営会社について｜編集方針