米国のサイバーセキュリティ・社会基盤安全保障庁（CISA）は2026年11月6日、米SonicWall社のファイアウォール製品に使われているOS「SonicOS」のセキュリティホール（CVE-2026-19868）を、「実際に悪用が確認された脆弱性」のリスト（KEVカタログ）に追加しました。CVEとは、世界中の脆弱性に振られる共通の識別番号のことです。CISAのリストに載るということは、「理論上危ない」ではなく「すでに攻撃に使われた形跡がある」という意味で、米国の連邦政府機関には11月20日までの対応が義務づけられました。
問題が見つかったのは「SSL-VPN」という機能です。VPNは、社員が自宅や出張先から会社のネットワークに安全につなぐための“専用の通路”のようなもので、SonicWall製品はその入り口として多くの企業で使われています。今回の欠陥は、このSSL-VPNのログインに「SAML」（社内の統合ログインの仕組みに認証を任せる方式）を設定している場合に影響します。攻撃者が、別のログイン方式用の正しいIDとパスワードを持っていると、本来SAMLで行うはずの確認を飛ばして入れてしまうおそれがあります。その結果、SAML側で設定していた多要素認証（パスワードに加え、スマホへの通知やワンタイムコードなどでもう一度本人確認する仕組み）までもがすり抜けられる可能性があるのです。
つまり、どこかで盗まれたり使い回されたりしたパスワードが一つあれば、「パスワードが漏れても多要素認証で止められる」という最後の守りが効かなくなるおそれがある、という点がこの欠陥の怖さです。深刻度は10段階評価で7点台の「高」とされていますが、社内ネットワークの入り口に関わるため、実際の影響は数字以上に大きくなり得ます。SonicWallの調査でも少なくとも1件の悪用が確認されたと伝えられています。
影響を受けるのは、第7世代（Gen7）の7.3.3-7015以前と、第8世代（Gen8）の8.2.2-8015以前のバージョンです。SonicWallは修正版（7.3.4-7013および8.2.3-8015）を公開しており、この更新では今回の欠陥を含む計7件の問題が直されています。なお、設定変更などで回避する方法（ワークアラウンド）は用意されていないとのことです。
個人が直接この製品を使うことはまれですが、勤務先がSonicWallのVPNを使っている場合は、情報システム部門がすでに更新済みかを確認しておくと安心です。管理者の方は、速やかに修正版へアップデートしたうえで、VPNのログイン履歴に見覚えのない接続がないかを点検し、念のためVPN利用者のパスワード変更も検討するとよいでしょう。
出典: The Hacker News「CISA Flags SonicWall SonicOS MFA Bypass Flaw Amid Reports of Possible Exploitation」