blog

AIブログ

SonicOS脆弱性CVE-2026-19868——悪用確認済み、MFA回避の可能性

公開日：2026年11月9日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2026-19868 とはどのような脆弱性か

2026年11月6日、SonicWallは自社ファイアウォール製品に搭載されるOS「SonicOS」のSSLVPNサービスに深刻な認証上の欠陥が存在するとして、CVE-2026-19868を公開した（CVE公式記録、SonicWall PSIRT告知 SNWLID-2026-0014）。

SonicOS SSLVPNサービスの認証強制に関する脆弱性である。別の認証方式の有効な認証情報を持つユーザーが、SAML認証による制御を回避できる可能性がある。悪用に成功した場合、SAMLによって強制されているはずの多要素認証（MFA）も同時に回避される可能性があるとされる。

CISA-ADPによるCVSS 3.1スコアは7.5（HIGH）で、ベクトル文字列は CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:L/A:N と評価されている（CVE公式記録）。

影響を受けるバージョンと現時点で確認できる対応

CVE公式記録（採番元CNA：SonicWall）が示す影響対象は以下のとおりである。

表：CVE-2026-19868の影響対象バージョン（出典：CVE公式記録）
製品系統	影響を受けるバージョン	SSLVPNの状態
SonicOS（Gen7）	7.3.3-7015 以前	有効化時に影響
SonicOS（Gen8）	8.2.2-8015 以前	有効化時に影響

修正バージョン・具体的な回避策については、公開されたCVE記録およびCISA KEVエントリ上の情報としては、ベンダー告知（SNWLID-2026-0014）のURLが参照先として示されているが、具体的な本文テキストを本記事執筆時点で確認できていないため、修正版の版番号・回避策の名称をここで断定することはできない。

現時点で確実なのは次の2点である。第一に、CISAは「ベンダー告知の指示に従ってミティゲーションを適用すること」を必要な対処として明示している（CISA KEV）。第二に、ベンダー告知ページで修正版が示されている場合は、そのバージョンへの更新が最優先となる。公式の回避策が示されているかどうかは、SonicWall PSIRT告知ページを直接参照して確認する必要がある。

次に読む：SonicWall GMSの脆弱性にどう対応すべき？

SonicWall GMS 脆弱性対応——修正版の有無が割れる深刻事態に日本企業が取るべき手順

CISAのKEV掲載が意味すること——悪用確認済みという事実の重み

本脆弱性は2026年11月6日、CISAの「Known Exploited Vulnerabilities（KEV）カタログ」に追加された（CISA KEV）。KEVへの掲載は、実際の悪用が確認されたことを意味する。ただし、自社が影響を受けるとは限らない。

CISA KEVの対処期限は2026年11月20日である。この期限は日本の一般企業への義務ではない。

CISAはさらに、ランサムウェアでの利用状況を「Unknown（不明）」と記録している。

今やること

今やることを以下の3点に絞って整理する。

1. 上の「影響を受ける版」の製品を使っている場合は、ベンダーの告知の修正版へ更新する。配布パッケージの版は、SonicWallの告知が示す修正版で判断する。

2. CISA KEVに掲載されており実際に悪用が確認されているため、更新の優先順位を上げる。CISAが示した必要な対処は、ベンダー告知の指示に従ってミティゲーションを適用することである（CISA KEV）。

3. 修正版が無い場合は、ベンダーの告知に従う。公式の回避策は現時点で確認できていない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

参考文献

CVE公式記録（採番元CNA：SonicWall）: https://www.cve.org/CVERecord?id=CVE-2026-19868
SonicWall PSIRT告知 SNWLID-2026-0014: https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0014
NVD（National Vulnerability Database）: https://nvd.nist.gov/vuln/detail/CVE-2026-19868
CISA Known Exploited Vulnerabilities Catalog: https://www.cisa.gov/known-exploited-vulnerabilities-catalog

重大な脆弱性が出たら、メールでお知らせします

悪用が確認された重大な脆弱性が出たときだけ送ります（頻繁には送りません）。無料・配信停止はメール内のリンクからいつでもできます。

脆弱性への対応・AIセキュリティでお困りの方へ

クリスタルメソッドは、脆弱性情報の監視とお知らせ、AIセキュリティのご相談、AIを業務に取り入れる際のセキュリティを学ぶ研修をお受けしています。「使っている製品が対象か分からない」「社内でAIを使うときの注意点を整理したい」といった段階からご相談いただけます。

無料相談・お問い合わせ：ご相談はこちら
提供内容と料金：脆弱性の監視サービス

監修

河合継（クリスタルメソッド株式会社代表取締役）

AI・ディープラーニングに関する特許16件の発明者。過去、国立がん研究センターとの共同研究や、テレビ番組でのAI解説実績を持つAI研究者として、AIの研究開発を主導している。
運営会社について｜編集方針