SonicWall SSL-VPN MFAバイパス脆弱性：パッチ完了と保護完了の間に残る攻撃対象領域

2026年5月、SonicWall Gen6 SSL-VPN機器において、CVE-2024-12802に関連するMFAバイパス攻撃事例が再び注目されています。本脆弱性は、SSL-VPN認証プロセスにおいて、UPN（User Principal Name）とSAM（Security Account Manager）のアカウント名形式が分離して処理される構造的な問題により発生します。特定の環境では、MFAが有効化されているように見えても、攻撃者が別のログイン形式を利用することで追加認証を回避できる可能性があります。

本脆弱性が特に危険なのは、単なる未パッチの問題ではないためです。SonicWallの公式アドバイザリでは、Gen6機器においてファームウェア更新後も、6段階の追加手動LDAP再構成が必要であることが明記されています。しかし、標準的なパッチ管理ワークフローでは、この手動再構成が完了しているかどうかまでは検証されません。その結果、管理者は機器が保護されたと認識していても、実際には脆弱なLDAP設定がそのまま残っている状態となります。さらに、この攻撃におけるMFAバイパスの試行は、ログ上で「正常なMFA成功」として記録されるため、セキュリティチームが問題を認識しにくくなります。

本記事では、SonicWall SSL-VPN MFAバイパス脆弱性CVE-2024-12802の技術的構造と侵害フローを分析し、外部に公開されたVPN機器がなぜランサムウェアの初期侵入経路として悪用され得るのかを考察します。

CVE-2024-12802 脆弱性の概要

項目	内容
弱性ID	CVE-2024-12802
影響製品	SonicWall SSL-VPN
脆弱性の種類	MFA認証バイパス – CWE-305(Authentication Bypass by Primary Weakness)
CVSSスコア	9.1 (Critical)
悪用状況	2026年2〜3月に複数環境でランサムウェア関連攻撃を確認

CVE-2024-12802は、SonicWall SSL-VPNがAD連携環境で異なるアカウント名形式を処理する方式に起因して発生します。一般的に、ユーザーはUPN形式のアカウント名とSAM形式のアカウント名を通じて認証できます。問題は、MFAポリシーがユーザーアカウント自体ではなく、ログイン形式ごとに独立して適用される可能性がある点です。この場合、管理者が特定のアカウント名形式にはMFAを適用していても、別のログイン形式には同じ保護が適用されていない状態が発生する可能性があります。攻撃者は有効なアカウント情報を取得した後、MFAが適切に強制されないログイン経路を選択することで、SSL-VPN認証を通過できる可能性があります。

技術的原因：UPNとSAMに分離されたMFA設定

UPN（User Principal Name）形式は、メールアドレスのように見える [email protected] の形式です。一方、SAM（Security Account Manager）形式は、従来のWindowsドメインログイン方式であるDOMAIN\usernameの形式です。2つの形式は同一のユーザーアカウントを指しますが、SonicWallはこれらを完全に別々の認証経路として処理します。MFAはユーザーアイデンティティそのものではなく、各ログイン経路に対して個別に設定されます。管理者がSAM経路にのみMFAを構成している場合、UPN経路にはMFAの強制が適用されません。その結果、有効な認証情報さえあれば、2要素認証なしで認証が完了する可能性があります。

Gen6機器の場合、ファームウェアアップデートによって脆弱なコードは修正されますが、既存のLDAP設定は変更されません。userPrincipalName を使用する既存のLDAP構成がそのまま残っている場合、アップデート後もUPN経路を通じたMFAバイパスが引き続き可能となります。SonicWallのアドバイザリではこの点が明記されていますが、標準的なパッチ管理システムはバージョン確認のみを行い、手動再構成が完了しているかどうかまでは検証しません。機器は最新ファームウェアで動作しているように見え、バージョンチェックも通過し、MFAも有効化されているように表示されます。すべてが正常に見える一方で、実際には脆弱な状態が残っている可能性があります。

攻撃フローのシナリオ

CVE-2024-12802を悪用した攻撃フローは、以下のように展開される可能性があります。

1. 外部に公開されたSSL-VPN機器の識別
   攻撃者は、インターネットスキャンを通じて外部からアクセス可能なSonicWall SSL-VPNポータルを探索します。VPNログインページ、SSL-VPNポート、機器バナー、認証ページのタイトルなどが識別指標として利用される可能性があります。
2. 認証情報の取得およびログイン試行
   攻撃者は、流出した認証情報、再利用されたパスワード、ブルートフォース攻撃、または過去の侵害で取得したアカウント情報を用いてVPNログインを試みます。
3. MFAバイパス経路の悪用
   AD連携環境において、UPN／SAMのログイン形式処理の違いを悪用し、MFAが適切に強制されない認証経路を試行します。この過程では、ログ上では正常なMFAフローのように見える場合があり、検知が遅れる可能性があります。
4. MFAバイパス経路の悪用
   VPN接続に成功した攻撃者は、内部IP帯域、ファイルサーバー、ドメイン参加システム、リモートアクセス可能なサーバーを迅速に探索します。
5. 認証情報の再利用および権限拡大
   共有ローカル管理者アカウント、脆弱なパスワード、再利用されたアカウント情報を利用し、内部システムへのアクセスを拡大します。
6. ランサムウェア攻撃前段階への移行
   攻撃者は、リモート制御ツール、権限昇格ツール、セキュリティソリューション回避手法などを試行し、将来的なランサムウェア展開に向けた初期アクセス権を確保する可能性があります。

この攻撃フローで注目すべき点は、その速度です。VPN接続後、内部偵察からファイルサーバーへのアクセスまでが非常に短時間で進行する可能性があります。したがって、SSL-VPN機器が外部に公開されており、アカウント保護ポリシーが不十分である場合、攻撃者は単一の脆弱性を内部侵害の出発点として活用できる可能性があります。

Criminal IPで観測可能な外部公開SonicWall SSL-VPN資産

インターネット上に公開されたSonicWall SSL-VPN機器の実態を確認するためには、外部から識別可能なサービス指標に基づいて攻撃対象領域を点検する必要があります。Criminal IP IT資産検索を活用し、インターネット上に公開されたSonicWall SSL-VPN資産を観測しました。

Criminal IP 検索クエリ: product: sonicwall ssl-vpn web server

このクエリを使用することで、公開インターネットからアクセス可能なSonicWall SSL-VPN Webサーバー資産を確認できます。2026年5月時点で約6,250件のインスタンスが確認されており、これらの資産は、組織外部からSSL-VPNログインポータルまたは関連Webサービスを識別できる状態にあることを意味します。SonicWall SSL-VPNは、内部ネットワークへアクセスするための認証ゲートウェイとして機能します。そのため、このような資産が外部に公開されている場合、攻撃者はまずVPNポータルを識別し、その後、アカウントの総当たり、流出した認証情報の利用、認証バイパス可能性の検証などを順次試行できます。特にCVE-2024-12802のように、MFA適用方式の不備を悪用できる脆弱性では、外部からアクセス可能であるかどうか自体が、攻撃可能性を判断する重要な基準となります。機器が最新ファームウェアへアップデートされていても、Gen6環境でLDAP再構成が完了していない場合、攻撃者は依然としてMFAバイパス経路を悪用できる可能性があります。

外部に公開されたSonicWall SSL-VPN資産の中でも、SSL証明書が期限切れとなっている機器は、追加的な管理不備の兆候として解釈できます。SSL証明書の期限切れが直ちにCVE-2024-12802の悪用可能性を意味するわけではありません。しかし、境界機器に対する保守とセキュリティ管理が十分に行われていない可能性を示す重要なシグナルとなります。

Criminal IP 検索クエリ: product: sonicwall ssl-vpn web server ssl_expired: true

このクエリは、SonicWall SSL-VPN Webサーバーとして識別される資産のうち、SSL証明書が期限切れの状態で外部に公開されている機器を確認する際に活用できます。2026年5月時点で約1,200件の資産が確認されており、このように期限切れの証明書を使用しているVPNポータルには、以下のようなリスクシグナルが含まれる可能性があります。

1. 機器の運用状態に対する点検不足
   SSL証明書の更新は、基本的な運用管理項目の1つです。そのため、証明書が期限切れのまま放置されている機器では、ファームウェアアップデート、LDAP設定の再構成、MFAポリシーの点検といったセキュリティ対策も漏れている可能性があります。
2. フィッシングおよび中間者攻撃に対する警戒意識の低下
   VPNログインページで証明書警告が繰り返し表示されると、正規ユーザーも警告を無視して接続する習慣が生じる可能性があります。これは、認証情報窃取のリスクを高める要因となります。
3. 優先的な攻撃対象として選定される可能性
   外部に公開されたSSL-VPN機器が期限切れの証明書を使用している場合、当該機器はセキュリティ運用の優先順位から漏れている、または長期間放置されている資産である可能性があります。

このような資産は、CVE-2024-12802への対応という観点でも優先的な点検対象となるべきです。特にGen6機器の場合、ファームウェアアップデートの有無だけを確認するのでは十分ではありません。LDAP設定の再構成、キャッシュされたLDAPユーザーの削除、SSL-VPN User Domainの再設定、機器の再起動、新規バックアップの作成まで完了しているかを確認する必要があります。

実際に外部公開されている関連資産のうち、特定の個別資産を詳細分析した結果、Criminal IP上では高リスク資産として分類されており、73件の開放ポート、248件の脆弱性、39件のExploit DB関連項目があわせて観測されました。これは、単にSSL-VPNポータルが1つ公開されているという水準を超え、複数のサービスと脆弱性情報が同時に識別される高リスク資産として分類できることを意味します。複数のポートが外部に開放されている状態は、攻撃者がVPNアクセスだけでなく、追加サービスの探索や攻撃ベクトルの検討を並行して行える環境であることを示します。このような資産は、CVE-2024-12802のような認証バイパス脆弱性が存在する場合、内部ネットワーク侵入の初期エントリーポイントとして悪用される可能性が高いと考えられます。

この個別資産の分析事例は、SonicWall SSL-VPN資産のリスクを判断する際に、単に「VPNポータルが公開されているか」だけを確認するのでは不十分であることを示しています。外部アクセスの可否に加え、リスクレベル、開放ポート数、関連脆弱性、SSL証明書の状態、ホスティング環境の有無を総合的に分析することで、実際の攻撃可能性に近い優先順位を設定できます。結局のところ、CVE-2024-12802への対応における核心は、脆弱性のパッチ適用状況を確認することだけではありません。攻撃者が実際に発見し、アクセスできる外部公開資産を継続的に識別することにあります。

パッチ状況および対応方法

CVE-2024-12802への対応で最も重要なのは、Gen6機器の場合、ファームウェアアップデートだけでは対応が完了しない可能性がある点です。最新ファームウェアが適用されている状態であっても、既存のLDAP設定が残っている場合、MFAバイパスの可能性が維持されるため、公式アドバイザリに基づく手動再構成手順まで完了する必要があります。Gen7およびGen8機器では、最新ファームウェアアップデートを通じて関連する修正が反映されます。一方、Gen6機器では既存のLDAP構成が維持される可能性があるため、別途手動での再構成が必要です。

Gen6 SonicWall SSL-VPN機器を運用している組織は、以下の項目を優先的に点検する必要があります。

• 最新ファームウェアの適用有無を確認
• userPrincipalNameを使用する既存LDAP設定を削除
• キャッシュされたLDAPユーザーを削除
• SSL-VPN User Domain 設定を削除
• 機器を再起動した後、LDAP設定を再構成
• 脆弱な設定を含む過去のバックアップを復元しないよう、新規バックアップを作成

また、VPN認証ログでは、sess="CLI" セッションタイプ、イベントID 238および1080、不審なVPS／VPN経由のログイン、短時間に繰り返される認証試行などもあわせて確認する必要があります。これらのシグナルは、自動化されたVPN認証試行やMFAバイパスの可能性を判断するための重要な手がかりとなります。特にGen6機器は、2026年4月16日付でサポート終了状態に到達しているため、短期的には手動対応とログ点検を直ちに実施し、長期的にはサポート対象機器への移行を検討する必要があります。パッチ適用の有無だけで対応を完了するのではなく、設定再構成の完了有無と侵害痕跡をあわせて検証することが重要です。

FAQ

Q1. ファームウェアを最新バージョンにアップデートしていれば安全ですか？

Gen6機器の場合、安全とは限りません。ファームウェアバージョンだけを確認しても、6段階のLDAP再構成が完了しているかどうかは分かりません。実際に観測されたインシデントでは、すべての被害機器が最新ファームウェアを実行していたにもかかわらず、脆弱な状態でした。SonicWallアドバイザリ（SNWLID-2025-0001）で案内されている手動再構成ステップが完了しているかを、別途確認する必要があります。

Q2. Gen6を引き続き使用してもよいですか？

2026年4月16日に、Gen6は公式サポート終了を迎えています。以降、新たな脆弱性が発見されても、セキュリティアップデートを受けることはできません。短期的には6段階のLDAP再構成を完了し、CVE-2024-12802を解消する必要があります。一方で、中期的にはGen7以上への移行が必須です。EoL機器をネットワーク境界で運用し続けることは、将来発見されるすべての新規脆弱性に対して、恒久的に露出した状態を意味します。

結論

CVE-2024-12802の事案は、「パッチを適用したこと」と「実際に保護されていること」が異なり得ることを示す典型的な事例です。本脆弱性自体は2024年に公開され、ファームウェアパッチも配布されました。しかし、パッチの不完全性、6段階の手動再構成という隠れた要件、そして標準的なパッチ管理ワークフローが手動再構成の完了を検証しないという構造的な限界が重なり、多くの組織が保護済みだと認識したまま、実際には保護されていない状態で数か月を過ごしていました。MFAが有効化され、ファームウェアが最新であるという事実は、実際のセキュリティ状態を保証するものではありません。また、攻撃者が残した痕跡が正常ログと区別しにくい点も、本事案の重要な教訓です。組織が運用するSonicWall Gen6機器がどこに存在するのか、6段階の再構成が完了しているのか、そしてログ上に sess="CLI" のシグナルが存在するのかを、直ちに確認する必要があります。

なお、関連してCVE-2026-41940：cPanel認証バイパス脆弱性分析の記事も参考にできます。

Criminal IP（criminalip.io/ja/register) に登録すると、すぐに脆弱資産の検知を開始できます。さらに、下記ボタンからデモをご依頼いただくことで、エンタープライズ環境において外部に露出した資産を対象としたCriminal IP の脅威インテリジェンス（TI）分析を直接ご確認いただけます。

---

本レポートは、サイバー脅威インテリジェンス検索エンジン Criminal IP のデータを基に作成されています。
今すぐCriminal IP の無料アカウントを作成すれば、本レポートで引用された検索結果を直接確認したり、さらに膨大な脅威インテリジェンスを自由に検索することができます。 

データソース: Criminal IP(https://www.criminalip.io/ja), SECURITYWEEK (https://www.securityweek.com/us-federal-agencys-cisco-firewall-infected-with-firestarter-backdoor/), digwatch (https://dig.watch/updates/cisa-firestarter-malware-cisco-directive), TheHackerNews (https://thehackernews.com/2026/04/firestarter-backdoor-hit-federal-cisco.html)

関連記事: https://www.criminalip.io/ja/knowledge-hub/blog/8884