サイバーセキュリティの世界では、新たな脅威が絶えず出現し、企業や組織の防御網を試しています。2025年12月17日、大手ネットワークセキュリティベンダーであるSonicWallは、同社のSecure Mobile Access (SMA) 100および1000シリーズアプライアンスに存在する、活発に悪用されているセキュリティ脆弱性CVE-2025-40602に対する緊急パッチをリリースしました。この脆弱性は、単独でも危険ですが、以前に修正された別の脆弱性と組み合わせることで、攻撃者にシステムへの完全な制御を許す可能性があり、その影響は甚大です。
この事態は、企業がリモートアクセス環境を保護するために不可欠なアプライアンスが、いかに巧妙な攻撃の標的となり得るかを示しています。SonicWallは、この脆弱性が「実環境で積極的に悪用されている」と警告しており、世界中の組織に対し、速やかにパッチを適用するよう強く促しています。この種のゼロデイ攻撃は、防御側が準備する時間を与えず、迅速な対応が求められるため、セキュリティ担当者にとっては極めて困難な課題となります。
今回のインシデントは、単一の脆弱性にとどまらず、複数の脆弱性を連鎖的に悪用する、より高度な攻撃手法が常態化している現状を浮き彫りにしています。攻撃者は、システムの最も弱いリンクを見つけ出し、それを足がかりとして、最終的には最高レベルの権限を奪取しようとします。この複雑な攻撃シナリオは、企業が包括的なセキュリティ戦略を講じることの重要性を改めて示唆しています。
特に、SMA 100/1000シリーズアプライアンスは、大規模な分散型企業において従業員がアプリケーションに安全にアクセスするためのゲートウェイとして広く利用されています。そのため、この脆弱性の悪用は、企業の広範なネットワークインフラストラクチャに影響を及ぼし、機密データの漏洩や業務停止といった深刻な結果を招く恐れがあります。今回のパッチ適用は、単なるシステム更新以上の意味を持つ、企業の存続に関わる緊急課題と言えるでしょう。
致命的な脆弱性CVE-2025-40602の深層
今回修正されたCVE-2025-40602は、CVSSスコア6.6の中程度の深刻度を持つ脆弱性ですが、その実態はスコア以上に危険です。この脆弱性は、アプライアンス管理コンソール（AMC）における不十分な認証に起因するローカル権限昇格のケースとして分類されています。つまり、攻撃者が一度システムにアクセスできれば、より高い権限を獲得し、システム内で自由に活動できるようになることを意味します。
具体的には、この脆弱性はSonicWall SMA 100シリーズアプライアンスのバージョン12.4.3-03093以前および12.5.0-02002以前に影響を与えます。SonicWallは、これらの脆弱性を修正するために、それぞれ12.4.3-03245および12.5.0-02283のプラットフォームホットフィックスをリリースしました。これらのアップデートは、攻撃者がシステム内で権限を昇格させる経路を塞ぎ、悪用を困難にすることを目的としています。
この脆弱性の発見と報告には、Google脅威インテリジェンスグループ（GTIG）のクレメント・レシグネ氏とザンダー・ワーク氏が貢献しました。彼らの専門知識がなければ、この活発に悪用されている脅威が特定され、修正されるまでにさらに時間がかかっていたかもしれません。セキュリティ研究者の継続的な努力が、デジタル世界の安全を維持する上でいかに重要であるかを改めて示しています。
ローカル権限昇格の脆弱性は、それ単独ではシステムへの初期侵入を許すものではありませんが、一度侵入を許した攻撃者にとっては、その後の攻撃活動を拡大するための重要なステップとなります。特に、今回のケースでは、この脆弱性が別のより深刻な脆弱性と組み合わされることで、その危険性が飛躍的に高まっている点が注目されます。これは、攻撃者が複数の弱点を組み合わせて、より強力な攻撃チェーンを構築する現代のサイバー攻撃の典型的な例です。
攻撃連鎖の核心：CVE-2025-23006との連携
CVE-2025-40602の真の脅威は、それが単独で悪用されるだけでなく、CVE-2025-23006（CVSSスコア9.8）という別の高深刻度脆弱性と組み合わせて利用される点にあります。SonicWallは、「この脆弱性は、CVE-2025-23006と組み合わせて、root権限での認証されていないリモートコード実行を達成するために悪用されたと報告されている」と述べています。この組み合わせにより、攻撃者は外部から認証なしでシステムに侵入し、最高レベルの権限で任意のコードを実行することが可能になります。
CVE-2025-23006は、SMAデバイスのAppliance Management Console (AMC) およびCentral Management Console (CMC) における「信頼できないデータの逆シリアル化」の脆弱性であり、認証されていない攻撃者が任意のOSコマンドを実行できるというものです。この脆弱性は、2025年1月下旬にSonicWallによってバージョン12.4.3-02854のプラットフォームホットフィックスで既に修正されていました。当時、Microsoft脅威インテリジェンスセンターが「活発な悪用の可能性」を報告していました。
この二つの脆弱性が連鎖的に悪用されることで、攻撃者はまずCVE-2025-23006を利用して初期アクセスとリモートコード実行を実現し、その後CVE-2025-40602を利用してその権限をrootレベルにまで昇格させることが可能になります。これにより、攻撃者はターゲットシステムを完全に掌握し、データの窃取、マルウェアの展開、さらにはシステム破壊といったあらゆる悪意ある活動を実行できるようになります。
Help Net SecurityがSonicWallの広報担当者から得た情報によると、もしSMA 1000アプライアンスがCVE-2025-23006のパッチ（バージョン12.4.3-02854以降）を適用済みであれば、脅威アクターはCVE-2025-40602を悪用するために別のローカルシステムユーザーアカウントを見つける必要があり、この特定の攻撃連鎖は破綻するとされています。しかし、これはCVE-2025-40602自体のリスクがなくなるわけではなく、依然として最新のセキュリティアップデートを適用することが不可欠であると強調されています。
脅威インテリジェンスが捉えた攻撃者の影
今回の活発な悪用が確認されている攻撃の背後に誰がいるのか、その具体的な詳細は現時点では明らかにされていません。SonicWallも、攻撃の規模や実行者に関する情報は提供していません。しかし、過去の事例や脅威インテリジェンスの動向から、いくつかの関連性が示唆されています。特に注目されるのは、Googleが追跡しているUNC6148というクラスターの存在です。
Googleは2025年7月に、UNC6148が、サポート終了済みのSonicWall SMA 100シリーズデバイスを標的とし、OVERSTEPというバックドアを仕込むキャンペーンを展開していることを報告していました。これらのデバイスは、パッチが完全に適用されているにもかかわらず、そのライフサイクル終了という特性を突かれていたとされています。現時点では、このUNC6148の活動と今回のCVE-2025-40602の悪用との間に直接的な関連があるかどうかは不明ですが、同じSonicWall SMA 100シリーズを標的としている点は見過ごせません。
UNC6148のような高度な持続的脅威（APT）グループは、しばしばゼロデイ脆弱性や複合的な攻撃手法を駆使して、特定の標的から情報を窃取したり、長期的なアクセスを維持したりすることを目的としています。彼らの手口は巧妙で、発見を回避するために常に進化し続けています。今回の攻撃が、既知の脅威アクターによるものなのか、あるいは新たなグループによるものなのかは、今後の調査で明らかになるでしょう。
攻撃者の特定は、サイバーセキュリティ対策において極めて重要な要素です。攻撃者の動機、能力、戦術、技術、手順（TTPs）を理解することで、より効果的な防御策を講じることが可能になります。しかし、匿名性の高いサイバー空間において、正確な帰属を特定することは常に困難を伴います。現時点での情報不足は、この攻撃の複雑さと、攻撃者がいかに痕跡を消すことに長けているかを示唆しています。
緊急パッチとCISAの警告：迫りくる期限
SonicWallは、この深刻な脅威に対応するため、迅速にパッチを開発し、リリースしました。これは、活発な悪用が確認されている脆弱性に対する業界標準の対応であり、顧客の保護を最優先する姿勢を示しています。SMA 100シリーズのユーザーは、可能な限り速やかにこれらの修正を適用することが不可欠です。パッチの適用は、攻撃の窓を閉じ、潜在的な被害を最小限に抑えるための唯一の確実な手段です。
さらに、米国のサイバーセキュリティ・インフラセキュリティ庁（CISA）もこの事態を重く見ています。CISAは、CVE-2025-40602を「既知の悪用されている脆弱性（KEV）カタログ」に追加しました。これは、連邦政府の民間行政機関（FCEB）に対し、2025年12月24日までにこの脆弱性に対する修正を適用し、ネットワークを保護することを義務付けるものです。CISAのKEVカタログへの追加は、その脆弱性が実際に悪用されており、国家レベルでの緊急対応が必要であるという明確なシグナルです。
このCISAからの指示は、単に連邦機関に限定されるものではありません。民間企業や地方自治体にとっても、この脆弱性の深刻さと緊急性を示す強力な指標となります。CISAが設定した期限は、この脅威がどれほど迅速に対処されるべきかを示しており、すべての組織が自社のリスク評価を行い、速やかに対応計画を実行に移すよう促します。
パッチの適用は、単なる技術的な作業にとどまらず、組織全体のセキュリティ体制を強化するための戦略的な決定です。特に、リモートアクセスを可能にするアプライアンスは、外部からの侵入経路となりやすいため、常に最新の状態に保つことが求められます。今回のCISAの警告は、この基本的なセキュリティ衛生の重要性を改めて強調するものです。
企業が直面するリスクと推奨される防御策
SonicWall SMA 100/1000シリーズアプライアンスを利用している企業にとって、今回の脆弱性は極めて現実的なリスクを提示しています。認証なしのリモートコード実行とroot権限の奪取は、攻撃者が企業のITインフラストラクチャ全体を掌握し、機密情報を窃取したり、システムを破壊したりする可能性を意味します。このような事態は、企業の評判失墜、法的責任、そして多大な経済的損失に直結します。
SonicWallは、顧客に対し、提供されたホットフィックスを速やかに適用するよう強く推奨しています。具体的には、バージョン12.4.3-03245（プラットフォームホットフィックス）以降、および12.5.0-02283（プラットフォームホットフィックス）以降へのアップグレードが必要です。これらのパッチは、CVE-2025-40602の悪用経路を塞ぎ、攻撃連鎖を断ち切るために不可欠なものです。
さらに、Help Net Securityが報じたSonicWallの推奨事項として、パッチ適用に加えて、予防的なセキュリティ対策を講じることが挙げられます。これには、Appliance Management Console (AMC) へのアクセスを特定の管理者IPアドレスに制限することや、SSL VPN管理インターフェース（AMC）およびSSHアクセスをパブリックインターネットから無効にすることが含まれます。これらの対策は、攻撃者が脆弱性を悪用する機会を減らし、システムの露出を最小限に抑える上で非常に効果的です。
これらの防御策は、今回の脆弱性だけでなく、将来的に発見される可能性のある他の脆弱性に対しても有効な「深層防御」の原則に基づいています。単一の対策に依存するのではなく、複数のセキュリティ層を設けることで、攻撃者が目標を達成するまでの障壁を増やし、最終的な成功を困難にすることが狙いです。継続的な監視、定期的な脆弱性スキャン、そして従業員へのセキュリティ意識向上トレーニングも、企業のサイバーレジリエンスを高める上で欠かせません。
ゼロデイ攻撃の進化とセキュリティの課題
今回のSonicWallの事例は、現代のサイバー脅威が持つ複雑さと、それが企業にもたらす継続的な課題を浮き彫りにしています。ゼロデイ脆弱性の発見と、それが活発に悪用されるまでの時間の短縮は、セキュリティベンダーと防御側が常に一歩先を行くことを要求します。攻撃者は、既知の脆弱性だけでなく、まだ発見されていない、あるいは修正されていない「ゼロデイ」の弱点を執拗に探し出し、それを悪用することで最大の効果を得ようとします。
特に、複数の脆弱性を組み合わせて攻撃チェーンを構築する手口は、近年増加傾向にあります。これは、単一の脆弱性対策だけでは不十分であり、システム全体を俯瞰した多層的な防御戦略が不可欠であることを示唆しています。Google脅威インテリジェンスグループのような専門組織が、このような複雑な脆弱性を発見し、迅速に報告する役割は、デジタルエコシステム全体の安全保障において極めて重要です。
また、CISAがKEVカタログを通じて連邦機関に緊急のパッチ適用を義務付ける動きは、国家レベルでのサイバーセキュリティ対策の強化を反映しています。これは、特定の脆弱性が単なる技術的な問題にとどまらず、国家安全保障や経済活動に直接的な影響を及ぼす可能性があるという認識が高まっていることを示しています。民間企業も、このような政府機関の警告を自社のリスク評価に組み込み、迅速な対応を心がけるべきです。
最終的に、今回のSonicWallの事例は、セキュリティが一度行えば終わりというものではなく、継続的なプロセスであることを改めて教えてくれます。脅威のランドスケープは常に変化しており、企業は常に警戒を怠らず、最新の脅威情報に基づいた対策を講じ続ける必要があります。パッチ管理の徹底、アクセス制御の厳格化、そして脅威インテリジェンスの活用が、未来の攻撃から身を守るための鍵となるでしょう。
参考情報
本記事は以下の情報源を参考に作成されました：
- -SonicWall Fixes Actively Exploited CVE-2025-40602 in SMA 100 Appliances - https://thehackernews.com/2025/12/sonicwall-fixes-actively-exploited-cve.html
- -Exploited SonicWall zero-day patched (CVE-2025-40602) - https://www.helpnetsecurity.com/2025/12/17/sonicwall-cve-2025-40602/