フランスのCERT-FRは2026年10月15日、SonicWallのNetwork Security Manager On-Prem(以下、NSM)に複数の脆弱性があると公表しました。対象は4.4.0未満で、遠隔から任意のコードを実行されたり、セキュリティポリシーを回避されたりする恐れがあります。利用企業は、導入している製品名とバージョンを確認し、メーカーの修正情報と照合する必要があります。
対象はOn-Prem版、4つの環境を確認
今回の対象製品はNetwork Security Manager On-Premです。対象環境として、VMWare、Hyper-V、Azure、KVMが挙げられています。SonicWall製品を利用しているという理由だけで、すべての機器やサービスが対象になるわけではありません。まず、社内や委託先が管理する構成に、この製品と対象環境が含まれているかを切り分けます。
関連する脆弱性の識別番号は、CVE-2026-100232とCVE-2026-96540です。メーカーや保守会社に問い合わせる際は、製品名と版に加えて、この番号を伝えると、確認する問題をそろえられます。
CERT-FRが示した影響は、遠隔からの任意コード実行とセキュリティポリシーの回避です。前者は、攻撃者が意図するプログラムなどを実行される恐れを指します。悪用が確認されているか、攻撃に認証が必要かといった条件は、今回の資料には書かれていません。条件が不明なことを、危険がないという判断につなげないことが重要です。
修正の入手方法はメーカー情報で確認
CERT-FRは修正プログラムの入手について、メーカーの情報を参照するよう案内しています。参照先は、SonicWallの2026年10月14日付情報「SNWLID-2026-0018」です。
今回の資料では、影響範囲を「4.4.0未満」としています。一方、修正プログラムの具体的な入手手順や適用手順は書かれていません。このため、対象外となる版の数字だけで更新先を決めず、メーカー情報で自社環境に適した対応を確認してください。修正プログラムの日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: VMWare、Hyper-V、Azure、KVMの環境で、Network Security Manager On-Premの4.4.0未満を利用している会社です。
- 影響する: 同製品の運用を委託していて、対象環境や利用版をまだ把握していない会社は、まず委託先への確認が必要です。実際に対象となるかは、その回答で切り分けます。
- 影響しない: Network Security Manager On-Premを利用していない会社は、今回公表された製品の対象には該当しません。他のSonicWall製品の安全性まで示すものではありません。
- 影響しない: 4.4.0以上は、今回示された「4.4.0未満」という版の条件には該当しません。ただし、他の脆弱性も含めて問題がないという意味ではありません。
情シスが今日やること
- 製品名と稼働環境を洗い出します。 IT資産台帳や構成資料でNetwork Security Manager On-Premの有無を調べ、VMWare、Hyper-V、Azure、KVMのどれで動いているかを記録します。委託運用なら、保守会社へ同じ項目の回答を依頼します。
- 利用中の版を確認します。 製品の管理担当者に、現在のバージョンを確認してもらいます。具体的な管理画面名や版の表示場所は発表には書かれていません。導入時の記録だけでなく、現在稼働している版を確認し、4.4.0未満かどうかを一覧に残します。
- メーカー情報と照合します。 「SNWLID-2026-0018」と2つのCVE番号を使い、修正プログラムの入手方法と適用手順を確認します。不明点は保守窓口へ問い合わせ、対象環境に合う更新方法を確定します。
- 対象なら更新の担当者と日程を決めます。 ネットワーク運用担当者と変更承認者に、該当する版と想定される影響を共有します。本日中の確認目標として対象判定と担当者の決定を置き、更新日程を調整してください。これは社内対応の進め方の提案であり、発表が指定した期限ではありません。
