SonicWallのファイアウォール用OS「SonicOS」の、SSL VPN（外から社内に接続するVPN）の脆弱性CVE-2026-19868が、2026年11月6日にCISA（米国のサイバーセキュリティ機関）の「KEV」に追加されました。KEVは、実際に悪用された脆弱性のカタログです。NVDの説明によると、SAML認証（社内の認証基盤でログインさせる仕組み）の代わりに、別の認証方式の有効な資格情報（IDとパスワードなど）を持っている人が、SAML認証の制御を回避できる恐れがあります。悪用に成功すると、SAMLで強制していた多要素認証（MFA）も回避される可能性があると書かれています。
自分の組織が使っているかは、ネットワークの担当者に確認してください。対象になるのは、SonicWallのファイアウォール（SonicOS）で、SSL VPNの認証にSAMLを使っている装置です。個人のパソコンやスマホは対象ではありません。SonicWallが登録したCVEの記録（公式のCVEレコード）では、影響を受ける版は、Gen7・Gen8のSonicOSで「7.3.3-7015以前」と「8.2.2-8015以前」です。一方、カナダ政府のサイバーセキュリティセンターの告知（AV26-1133）は「7.3.4-7013より前、8.2.2-8015より前」としていて、8.2.2-8015そのものを含むかどうかが食い違っています。8.2.2-8015を使っている場合は、安全とは考えないでください。
スコアの出どころ：7.5（CVSS v3.1）は、NVDに載っているCISA（CISA-ADP）の評価です。ベクターは「ネットワークから・攻撃の複雑さ高・権限不要・利用者の操作不要・影響範囲が広がる・機密性への影響が高・完全性への影響が低」です。当サイトが11月9日の朝にNVDのデータ（API）を取得した時点では、状態は「分析中」で、載っていたのはこのCISAの評価だけでした（NIST自身のスコアは見当たりませんでした）。NISTのスコアが付くと、この数字は変わる可能性があります。
何が起きているのか（公表されている範囲）
- ▸CVE-2026-19868：NVDの説明では、SonicOSのSSL VPNサービスの「認証の強制」の欠陥です。別の認証方式の有効な資格情報を持つ人が、SAML認証の制御を回避でき、SAMLで強制したMFAも回避される恐れがあります。弱点の種類は、単一要素の認証の使用（CWE-308）です。資格情報を持たない人が、いきなり入れる欠陥とは書かれていません
- ▸CISAのKEV：11月6日に追加され、対応期限は11月20日です（米国の連邦機関向けの期限）。ランサムウェア攻撃での利用は「不明」と記載されています。CISAの評価（SSVC）では、悪用は「active（実際に起きている）」、自動化は「no（自動化はされない）」、技術的影響は「partial（部分的）」です
- ▸SonicWallのCVE登録：影響を受ける製品はGen7・Gen8のSonicOSで、版は「7.3.3-7015以前」「8.2.2-8015以前」と記録されています。カナダ政府の告知（AV26-1133）：11月6日付で、「SonicWallはCVE-2026-19868が悪用されていると示している」と書き、影響版を「7.3.4-7013より前、8.2.2-8015より前」としています。SonicWallの告知（SNWLID-2026-0014）自体は、当サイトでは中身を読めませんでした（下の「確認できなかったこと」を参照）
今日やること
- ✓★SonicOSの版を確認する。Gen7・Gen8で、7.3系なら7.3.3-7015以前、8.2系なら8.2.2-8015以前が、SonicWallのCVE登録にある対象です。カナダ政府の告知とは8.2.2-8015の扱いが違うので、8.2.2-8015の場合は対象として扱ってください。最終的な対象版と修正版は、SonicWallの告知（SNWLID-2026-0014）で確認してください
- ✓★修正版へ更新する。更新前に、設定のバックアップを取り、停止してよい時間帯を決めます。どの版が修正版かは、当サイトでは確認できていません。SonicWallの告知で確認します
- ✓SSL VPNの認証設定を確認する。SAMLを使っている場合、SAML以外の認証方式（ローカルユーザーなど）でもSSL VPNにログインできる設定になっていないかを見ます（これは当サイトの確認の勧めで、SonicWallが示した手順ではありません）
- ✓ログインの記録を確認する。SAMLを通らずにログインしている記録がないか、心当たりのないログインがないかを見ます。不審な記録があれば、パスワードの変更と、担当者・専門業者への連絡を急ぎます（同上）
- ✓インターネットに公開しているVPN装置を最優先にする。KEVに載った脆弱性は、実際に攻撃が起きています
すぐ更新できないとき
SonicWallが示した回避策や緩和策は、当サイトでは確認できませんでした。そのため、ここでは公式の手順を紹介できません。更新できない間は、SonicWallの告知に回避策がないかを確認し、ある場合はそれに従ってください。告知を確認できるまでの間にできることとして、SSL VPNへの接続元を取引先や社員の範囲に絞れるなら、絞るのも手です（これは当サイトの一般的な勧めで、この脆弱性への公式の緩和策ではありません）。
確認できなかったこと
- ▸SonicWallの告知（SNWLID-2026-0014）の本文。ページが画面表示に特化した作りで、当サイトでは中身を取得できませんでした。影響版は、SonicWallのCVE登録とカナダ政府の告知（AV26-1133）の記述によります
- ▸回避策・緩和策と、修正版の一覧。確認できた資料にはありませんでした。8.2.2-8015が影響を受けるのか（SonicWallのCVE登録）、修正済みなのか（カナダ政府の告知の読み方）は、公式の告知で確認できていません
- ▸攻撃の規模・攻撃者。確認できた資料に、件数や攻撃者の情報はありませんでした
- ▸日本国内の被害。この記事では示せません
- ▸NISTによるスコア。11月9日朝の取得時点のNVDは「分析中」で、CISAの評価だけがありました
共有するならこの3行
- ▸SonicWallのSonicOS（SSL VPN）のCVE-2026-19868が、11月6日にCISAの「悪用確認」カタログ（KEV）に追加された。SAML認証と、SAMLで強制したMFAを回避される恐れがある
- ▸★Gen7・Gen8のSonicOSの版を見て、7.3.3-7015以下／8.2.2-8015以下なら、対象として更新の準備を。VPN担当者へ「SAMLを使っているか」を聞く（修正版はSonicWallの告知で確認）
- ▸公式の回避策は確認できていない。更新が先で、ログインの記録も見ておく