SonicWall GMS 脆弱性 対応——修正版の有無が割れる深刻事態に日本企業が取るべき手順

訂正（2026年11月6日） 公開時の本記事は「修正版は提供されない」と断定に近い書き方をしていましたが、脆弱性データベースには「9.5.2より後のバージョンへの更新を推奨」とする記録があり、情報源が食い違っています。SonicWall自身の勧告では確認できていないため、修正版の有無は未確定として該当箇所を改めました。

SonicWall GMSに深刻な脆弱性——修正版の有無は情報源で割れている

2026年11月3日（現地時間）、SonicWallは同社のネットワーク一元管理製品「GMS（Global Management System）」に複数の脆弱性が存在するとのセキュリティアドバイザリを公開した（security-next.com報道）。

確認されている脆弱性は2件。CVE-2026-109593は認証を要しないネットワーク経由のファイル読み取りが可能で、CVSSv3.1スコアは9.1と「緊急（Critical）」相当に分類される。管理下のファイアウォール設定・認証情報・ネットワーク構成が外部から読み取られるおそれがある。CVE-2026-109594はSQLインジェクションで、認証が必要だが特定条件下でデータベースの参照・改ざんが可能とされ、スコアは6.8となっている（両CVE番号は独立ソースによる完全な裏付けは未確認）。

security-next.comの報道は、GMSはすでにサポート終了済みで、両脆弱性に対するパッチは提供されないと伝えている。一方、脆弱性データベースのOpenCVE（CVE-2026-109593）は、影響を受けるのをGMS 9.5.2以前とし、9.5.2より後のバージョンへの更新を推奨している。SonicWall自身の勧告ページは確認できておらず、修正版の有無は情報源の間で食い違っている。SonicWallは別製品への移行を推奨しているとされるが、このサポート終了判定は独立ソースで完全には裏付けが取れていない。自組織の契約・ライセンス状況をSonicWallまたは販売代理店に直接確認することが先決となる。

自社で使うVPN機器が対象になるかどうかの判断は、Cisco ASA・FTDのSSL VPN脆弱性で説明しています。

関連記事NetScaler脆弱性、悪用と対象版は？

SonicWall GMS 脆弱性が意味するもの——「パッチ待ち」が通用しない可能性のある局面

通常の脆弱性対応であれば、ベンダーが提供するパッチを適用して収束する。しかし今回のSonicWall GMS 脆弱性 対応においては、パッチという選択肢が存在しない可能性がある（情報源が食い違っており、確定していない）。これは従来の「パッチ管理プロセス」が機能しない例外的な状況を意味する。

GMSはSonicWall製ファイアウォール群を一元管理する中枢ソフトウェアである。ここに認証不要でファイルを読み取れる経路（CVSSv3.1スコア9.1）が存在するということは、単一機器の侵害にとどまらず、管理下の全拠点のインフラ構成情報が連鎖的に攻撃者の手に渡りうることを意味する。ファイアウォールの設定が漏洩すれば、そこに記載された内部ネットワークのセグメント構成・ACLルール・VPN設定を起点とした二次攻撃が可能になる。

過去の対応実績を見ると、GMSでは2023年にCVE-2023-34133等15件の脆弱性が修正され（SecurityWeek）、2026年8月にはGMS 9.5.2でリモートコード実行（RCE）を含む深刻な脆弱性群に対処した経緯がある（security-next.com）。サポート継続中のバージョンには修正が提供されてきた一方、今回はGMS製品自体がその枠組みから外れた可能性を示している。

また、SonicWall製品をめぐっては、厚生労働省情報セキュリティ対策推進チーム（MIST）がSonicWall SMA100シリーズの複数の脆弱性に関する注意喚起を発出しており（mist.mhlw.go.jp）、同社製品に対する国内機関の監視水準が高まっている点は見落とせない。

日本企業が直面するリスクと対応選択肢の比較

国内でSonicWallのファイアウォールを運用する中堅・中小企業の一部はGMSによる集中管理を採用しているとみられる。製造業・医療・流通など複数拠点を持ち、SonicWallを標準機器として長期間使い続けているケースが特に注意を要する。

SonicWall GMS 脆弱性 対応：選択肢と考慮点の比較

対応選択肢	有効性	コスト・工数	リスク・制約
パッチ適用	提供の有無は情報源で割れている（OpenCVEは9.5.2より後への更新を推奨）	—	サポート終了が確定なら根本解決にならない。SonicWall自身の勧告で要確認
ネットワーク隔離・ACL強化	暫定的に有効	低〜中（設定変更のみ）	脆弱性は残存。内部ネットワーク経由の攻撃には限界がある
GMS停止・手動管理へ移行	脆弱なソフトを排除できる	中（運用負荷増）	拠点数が多いと管理工数が増大する
後継製品・代替製品への移行	恒久対処として最も確実	高（予算・調達・設定移行）	移行期間中は並行運用が必要。稟議・調達リードタイムに注意

CVSSv3.1スコア9.1のCVE-2026-109593は認証不要の経路であるため、GMSの管理ポートがインターネットに露出している場合、攻撃コストは極めて低い。まず自組織のファイアウォール・ACLの設定を確認し、GMSの管理インターフェースへの外部アクセスを遮断することが最初の行動となる。

移行コストは過小評価されやすい点にも注意が必要だ。ファイアウォール設定・ポリシーを後継製品に移植する工数、ライセンス費用の見直し、担当者の再教育、そして移行中の二重管理期間のリスク——これらを経営レベルで認識したうえで、移行のタイムラインと予算確保を稟議に乗せる必要がある。「暫定対処（隔離）で時間を稼ぎながら移行計画を立案する」という二段構えが現実的な進め方といえる。

SonicWall GMS 脆弱性 対応：経営・IT管理者が今週中に確認すべき5項目

1. GMSの稼働・バージョン確認（即日）
自組織でGMSを稼働させているかどうか、稼働しているならバージョンを確認する。GMS 9.5.2は2026年8月時点でサポート対象だった実績があるが、今回の脆弱性との関係については販売代理店またはSonicWall公式サポートに直接問い合わせて確認する。

2. 管理インターフェースのアクセス制御確認（即日）
GMSの管理ポートへのアクセス元IPをホワイトリスト方式に制限する。インターネットに直接露出している場合は即時遮断を検討する。CVSSv3.1スコア9.1の脆弱性は認証不要のため、外部露出が継続している時間が長いほど侵害リスクは高まる。

3. ログの保全と侵害痕跡の確認（今週中）
CVE-2026-109593は認証不要のファイル読み取りであるため、すでに悪用されている可能性がある。GMS・ファイアウォールのアクセスログを遡及して不審なアクセスがないか確認し、ログを保全しておく。保全は後のフォレンジック対応・法的対応にも必要になる。

4. ベンダー・代理店へのサポート状況確認と移行相談（今週中）
製品のサポート終了判定は独立ソースで完全には確認できていないため、SonicWallまたは国内販売代理店に現在の保守・サポート状況を確認する。サポート終了が確定した場合は後継製品の見積もりを依頼し、移行の稟議プロセスに入る。

5. インシデント対応体制の確認（今週中）
万一侵害が判明した場合の連絡先・対応フローを確認する。個人情報保護委員会への報告義務（個人情報保護法第26条）が生じる可能性も考慮し、法務・コンプライアンス部門と事前に連携しておくことが望ましい。

SonicWall GMS 脆弱性 対応における最大の経営リスクは、暫定対処のまま放置することにある。認証不要の経路が残存したまま時間が経過するほど、管理下のファイアウォール群を含むインフラ全体が継続的な脅威にさらされ続ける。移行コストは可視化できるが、侵害後のインシデント対応・信頼損失・法的リスクは可視化されにくい。その非対称性を意思決定の前提として押さえておく必要がある。

---

参考文献

• security-next.com「管理製品『SonicWall GMS』に深刻な脆弱性 – 修正版提供なし」
• 厚生労働省情報セキュリティ対策推進チーム（MIST）「SonicWall SMA100シリーズの複数の脆弱性に関する注意喚起」https://mist.mhlw.go.jp/sonicwall-sma100シリーズの複数の脆弱性に関する注意喚起/
• SecurityWeek「SonicWall Patches 15 Vulnerabilities in GMS, Analytics Products」https://www.securityweek.com/sonicwall-patches-15-vulnerabilities-in-gms-analytics-products/