CyberSec.Space Logo
← インサイト一覧に戻る
•Cyber-Sec.Space チーム

グローバルサイバー脅威インテリジェンス概要：2026年7月20日

本期の安全脅威インテリジェンス概要：SonicWall SMA1000のゼロデイ脆弱性チェーンの悪用、NGINX正規表現Map処理におけるヒープバッファオーバーフロー（CVE-2026-42533）、SandwormサブクラスUAC-0145によるClickFixソーシャルエンジニアリング攻撃キャンペーン、およびHelloNetによるViPNetコンポーネントを悪用したDLLサイドローディング。

対象期間：2026年7月19日 08:00 — 2026年7月20日 08:00（UTC+8）

本レポートは、報告期間内に発表された、または重大な注目を集めたサイバーセキュリティの動向をカバーし、悪用が確認された進行中の攻撃、または緊急の防御行動を要するキャリーオーバーインシデントを含みます。

公式のベンダーアドバイザリ、政府のアラート、およびオリジナルのセキュリティ研究を優先しています。技術的影響、悪用状況、または脅威の帰属に不確実性がある場合は、その限界を明記しています。

📝 エグゼクティブサマリー — 10秒まとめ

  • 🔴 SonicWall SMA1000 デバイスの保護が最優先事項です。 UTA0533は2つのゼロデイ脆弱性を悪用し、localhostのみからアクセス可能なサービスにトラフィックをトンネリングし、root権限でのコマンド実行と専用マルウェアの展開を行いました。両脆弱性はすでにCISAの「悪用が確認されている脆弱性カタログ」（Known Exploited Vulnerabilities Catalog）に登録されています。

  • 🟠 CVE-2026-42533は、特定の正規表現 map 設定を使用している NGINX デプロイメントに影響します。 ベンダーが確認した技術的影響は、リモートからワーカープロセスをクラッシュまたは再起動させ、サービス拒否（DoS）を引き起こすことです。F5は、ASLRの未有効化またはバイパスなど、追加の条件が満たされた場合、リモートコード実行（RCE）の可能性もあるとしています。

  • 🟠 CERT-UAは、一連 of マルチベクトル攻撃キャンペーンをUAC-0145（Sandwormのサブクラス）に帰属させました。 改ざんされたウェブサイトには偽のCAPTCHAとClickFixの指示が表示され、被害者にPowerShellコマンドを手動で実行させようとします。この活動には、セキュリティツールを装ったAndroidアプリケーションも含まれています。

  • 🟠 HelloNetは、ローカルにインストールされたViPNet更新コンポーネントを悪用してDLLサイドローディングを行い、永続化を試みました。 現在公開されている証拠は、すでに攻撃者がアクセス権を持つエンドポイント上での活動を示しており、InfoTeCSやViPNetのサーバーインフラ自体が侵害された証拠はありません。

🔍 主要インシデント：技術分析

1. SonicWall SMA1000のゼロデイ脆弱性チェーン：外部リクエストからRoot権限の奪取まで

ステータス：報告期間内に重大な注目を集めたインシデント（悪用確認済みキャリーオーバー）

運用優先度：🔴 緊急（Critical）
CVE-2026-15409：CVSS 10.0 — SonicWall評価
CVE-2026-15410：CVSS 7.2 — SonicWall評価
悪用状況：公開前のゼロデイ悪用を確認済み

インシデント概要

Volexityは、これまで記録されていなかった脅威アクター「UTA0533」が、遅くとも2026年6月22日以降、SonicWall SMA1000デバイスを標的としたゼロデイ攻撃を行っていたことを特定しました。

影響を受けるモデルは以下の通りです：

  • SonicWall SMA 6210
  • SonicWall SMA 7210
  • SonicWall SMA 8200v

ベンダーの公開情報は以前に出されていましたが、7月19日以降に英語圏で報道が拡大しました。公開前の悪用が確認されているため、引き続き最優先の運用対処事項です。

2026年7月14日、CISAはCVE-2026-15409およびCVE-2026-15410を「悪用が確認されている脆弱性カタログ」に追加しました。

技術的詳細分析

Volexityが再構築したエクスプロイトチェーンは、デバイスの /wsproxy WebSocket エンドポイントにおける認証前（Pre-auth）の脆弱性から始まります。

疑わしいリクエストパターンには、以下の特徴が含まれます：

  • User-Agent: SMA Connect Agent
  • -3389 で始まる bmID パラメータ
  • 内部またはループバックインターフェース（localhost）のみで動作するサービスを指す宛先
  • 成功を示す HTTP 101 Switching Protocols レスポンス

この攻撃には、有効なSMAセッションCookieは不要です。

これにより、外部の未認証の攻撃者が、デバイス内のループバックインターフェースのみで待機しているはずの内部サービスにトラフィックをトンネリングできるようになります。対象となるサービスは以下を含みます：

  • 127.0.0.1:1050 — CouchDB Erlang分散サービス
  • 127.0.0.1:1051 — Erlang Port Mapper Daemon（EPMD）
  • 127.0.0.1:8188 — SMA制御サービス

この結果、デバイス自体が、特権を持つ内部管理プレーンへのプロキシとして機能することになります。

Volexityが観察したログでは、ポート 1050 および 8188 へのアクセスが確認されています。

2つ目の脆弱性は、execRemoveHotfix ワークフローに影響します。呼び出し側が制御できるホットフィックスの値が、ロールバックパスの末尾に結合されます：

/var/lib/aventail/avp/rollback/<user-controlled-value>

パスの検証が不十分なため、以下のようなパス・トラバーサルシーケンスが許容されます：

../../../../../tmp/payload.sh

その後、ヘルパープログラムがこのファイルを起動可能な状態にし、実行します。このヘルパーは高権限で動作するため、攻撃者が用意したスクリプトをroot権限で実行させることができます。

侵入後の活動

root権限を獲得した後、UTA0533は以下の専用ツールを展開しました：

  • ROOTRUN： root権限でコマンドを実行するためのsetuidユーティリティ
  • KNUCKLEBALL： Javaエージェントを埋め込んだPythonインジェクター
  • Suo5： オープンソースのHTTPトラフィック転送プロキシ
  • ORANGETAIL： Behinderに類似したカスタムJava Web Shell
  • 改ざんされたNGINX Unitルーティング（攻撃者制御のエンドポイントを外部公開するため）
  • 暗号化されていないLDAPトラフィックを標的とするパケットキャプチャツール

対策と脅威ハンティング

  1. 影響を受けるデバイスを以下にアップデートします：
    • 12.4.3-03453 以降
    • 12.5.0-02835 以降
  2. /wsproxy リクエストの中で、以下を検索します：
    • -3389 で始まる bmID 値
    • User-Agent: SMA Connect Agent
    • ポート 1050 または 8188 を含むローカル向けの通信
    • HTTP 101 Switching Protocols レスポンス
  3. 侵入が確認された場合、デバイスの再イメージ化または再デプロイを行い、管理者、VPN、ディレクトリサービスなどのすべての認証情報をローテーションしてください。

2. CVE-2026-42533：NGINXの正規表現Map処理におけるヒープバッファオーバーフロー

ステータス：報告期間内に新しく公開された脆弱性

ベンダー重大度：Major
F5 CVSS v4.0：9.2
F5 CVSS v3.1：8.1
運用優先度：🟠 高（設定に依存）
確認された影響：ワーカープロセスのクラッシュによる拒否サービス（DoS）
潜在的な影響（条件付き）：リモートコード実行（RCE）

インシデント概要

CVE-2026-42533は、map ディレクティブ、正規表現、およびキャプチャ変数の組み合わせに関連する、リモートから引き起こし可能なヒープバッファオーバーフローです。

影響を受けるNGINXオープンソースバージョン：

0.9.6 から 1.31.2 まで

修正済みバージョン：

  • NGINX stable 1.30.4 以降
  • NGINX mainline 1.31.3 以降
  • NGINX Plus 37.0.3.1 以降

技術的詳細分析

NGINXは、動的に生成される一部の文字列を2段階で評価します：

  1. 必要な出力バッファサイズを計算する段階。
  2. 実際にデータをアロケーションされたバッファに書き込む段階。

脆弱な設定では、これら2つの段階が共有の正規表現キャプチャ状態に依存してしまいます。長さを計算した段階の変数と、実際に書き込む段階の変数が、背景の正規表現処理によって書き換えられることで：

計算された長さ ≠ 書き込まれる長さ

となり、確保されたヒープ領域を超えて書き込みが発生し（Heap Buffer Overflow）、プロセスがクラッシュするか、条件によってコードが実行される恐れがあります。

3. WindowsおよびAndroidデバイスを標的とするSandworm関連のClickFixキャンペーン

ステータス：報告期間内に注目を集めた活動

運用優先度：🟠 高
アクター：UAC-0145（Sandworm / APT44 のサブクラス）
主要標的：ウクライナの組織および個人

キャンペーン概要

UAC-0145は、改ざんされたウェブサイトを利用して、訪問者に偽のCAPTCHAを表示します。ブラウザの脆弱性を突くのではなく、ClickFixと呼ばれるソーシャルエンジニアリングを用いて、被害者自身にPowerShellコマンドを手動でコピー＆ペーストさせ、実行させます。

PowerShellが実行されると、VBSペイロード（GHETTOVIBE など）がスタートアップディレクトリにダウンロードされ、システム起動時に実行されます。また、Androidデバイス向けには、セキュリティアプリを装ったマルウェア（COWARDDUCK）が配布され、位置情報や連絡先、VPN設定などが窃取されます。

4. HelloNet：ローカルにインストールされたViPNet更新コンポーネントを悪用したDLLサイドローディング

ステータス：進行中の標的型攻撃キャンペーン

運用優先度：🟠 ViPNet環境では高；🟡 グローバルでは中
アクター：中国語圏の脅威アクター（低信頼度の帰属）

インシデント概要

Kasperskyは、ViPNetセキュリティネットワーク製品を利用する組織を標的とする「HelloNet」キャンペーンを検出しました。

攻撃者は、ローカルの以下のパスに悪意あるDLL（wtsapi32.dll）を配置します：

C:\Program Files (x86)\InfoTeCS\VIPNet Update System\

正当な更新プログラム itcsrvup64.exe が起動すると、DLL検索順序の仕様に基づき、この悪意あるDLLが読み込まれます（DLLサイドローディング）。その後、svchost.exeプロセスにコードが注入され、HelloProxy などのモジュールやRust製のバックドア（HelloBackdoor）がメモリ内で稼働し、ログの消去やSSHトンネリングが行われます。

🛡️ 本日の防御アクションプラン

P0 — 即時対処

  • インターネット公開されているSonicWall SMA1000デバイスを特定し、最新ファームウェアへアップデート。
  • /wsproxy における -3389 で始まる bmID や User-Agent: SMA Connect Agent を含む不審なログを検索。

P1 — 本日中の評価と修正

  • 使用しているNGINXおよびNGINX Plusのバージョンと、map ディレクティブにおける正規表現キャプチャの使用状況を監査。
  • 修正バージョンへのアップデート、またはF5が推奨する一時的緩和策（名前付きキャプチャへの置き換え）を適用。

📌 最終評価

本日の脅威ランドスケープは、信頼されたインフラの悪用、正当なプログラムの実行パスの乱用、およびメモリ安全性の問題が組み合わさっています。

資産の棚卸しとパッチ適用は露出を減らしますが、防御策や信頼された実行パスが突破された後を想定し、振る舞い検知を強化することが極めて重要です。

参考文献

#CyberSecurity #ThreatIntelligence #CISO #SOC #SonicWall #NGINX #Sandworm #ClickFix #APT