非公式のBash IoCチェッカー for 活発に悪用されているCVE-2026-15409およびCVE-2026-15410の影響を受けるSonicWall SMA1000アプライアンス向け。
積極的に悪用されているSonicWall SMA 1000シリーズの脆弱性 CVE-2026-15409 および CVE-2026-15410 に関連する、選択された侵害指標に対する非公式のBashベースのログチェックです。
[!CAUTION] 独立したコミュニティプロジェクト: このリポジトリは、SonicWallやドイツ連邦情報セキュリティ庁（BSI）とは提携しておらず、承認、保守、または支援を受けていません。
[!IMPORTANT] このスクリプトは限定的な検出補助ツールです。結果がクリーンでも、アプライアンスが侵害されていないことを証明するものではありません。また、一致が見つかった場合も完全なフォレンジック結論ではありません。
2026年7月14日、SonicWallは2つのゼロデイ脆弱性に関するセキュリティアドバイザリ SNWLID-2026-0008 を公開しました。この脆弱性はSMA 1000シリーズに影響し、ベンダーは実環境での悪用を示す複数の調査事例を報告しました。
2026年7月15日、BSIは BITS-H Nr. 2026-271845-1032、バージョン1.0を公開しました:
SonicWall SMA1000 – Zero-Day Schwachstellen aktiv ausgenutzt
Kritikalität 3 / Orange
BSIは、セキュリティチームが速やかに保護対策を実施し、フォレンジック調査を開始することを推奨しています。
このアドバイザリは以下のSMA 1000シリーズモデルを対象としています:
影響を受けるバージョンとサポートされている修復を確認するには、常に最新のSonicWallアドバイザリを参照してください。
SMA1000アプライアンスのWork Placeインターフェースにおける重大なサーバーサイドリクエストフォージェリの脆弱性。リモートの未認証攻撃者が、アプライアンスに意図しない場所へのリクエストを実行させる可能性があります。
SMA1000アプライアンスの管理コンソールにおけるコードインジェクションの脆弱性。特定の条件下で、認証された管理者がリモートから任意のオペレーティングシステムコマンドを実行できる可能性があります。
[!NOTE] 一部の短縮された公開情報では
CVE-2026-1541と表示される場合があります。完全な識別子はCVE-2026-15410です。
SonicWall-SMA1000-Zero-Day-IoC-Check/
├── README.md
├── NOTICE.md
└── sonicwall-sma1000-ioc-check.sh
スクリプトは、選択されたSMA1000アクセスログおよびコントロールサービスのログから、さらなる調査が必要となる可能性のある定義済みパターンを検索します。
このスクリプトは以下のことを行います:
zgrepを使用したgzip圧縮ログをサポートします。このスクリプトは以下のことを行いません:
zgrep / GNU gzipユーティリティ/var/log/aventailへのアクセスリポジトリをクローンします:
git clone https://github.com/MrRawBit/SonicWall-SMA1000-Zero-Day-IoC-Check.git
cd SonicWall-SMA1000-Zero-Day-IoC-Check
スクリプトを実行可能にします:
chmod +x sonicwall-sma1000-ioc-check.sh
スクリプトをルート権限で実行します:
sudo ./sonicwall-sma1000-ioc-check.sh
設定されたパターンが見つからない場合:
No configured SMA1000 indicators of compromise were found.
A clean result does not prove that the appliance is uncompromised.
少なくとも1つの設定されたパターンが検出された場合:
WARNING: Potential SMA1000 indicators of compromise were detected.
Preserve evidence, isolate the appliance when appropriate, and follow current incident-response and vendor guidance.
| コード | 意味 |
|---|---|
0 | 設定された侵入指標パターンは検出されませんでした |
1 | 少なくとも1つの設定された侵入指標パターンが検出されました |
2 | 前提条件または実行エラーが発生しました |
終了コード2は、ルート権限の欠如、zgrepコマンドの欠如、ログディレクトリの欠如、またはサポートされているログファイルがない場合を含みます。
自動化ワークフローの例:
sudo ./sonicwall-sma1000-ioc-check.sh
result=$?
case "$result" in
0)
echo "No configured indicators detected."
;;
1)
echo "Potential compromise detected. Begin incident-response procedures."
;;
2)
echo "The check could not be completed. Review the error output."
;;
esac
このスクリプトは現在、以下のパターンを検索します:
以下のファイルがチェックされます:
/var/log/aventail/extraweb_access.log*
/var/log/aventail/ctrl-service.log*
プレーンテキストとgzip圧縮されたローテートログの両方が含まれます。正確な正規表現はsonicwall-sma1000-ioc-check.shで確認できます。
SonicWallアドバイザリは、以下の修正されたプラットフォームホットフィックスバージョンを特定しています:
12.4.3-03453 以降12.5.0-02835 以降運用上の決定を行う前に、これらのバージョンを現在のベンダーアドバイザリと照合してください。
スクリプトが可能性のある指標を報告した場合:
侵害が疑われる、または確認された場合は、ベンダーの現在のガイダンスに従ってください。これには、物理アプライアンスの再イメージングや仮想アプライアンスの再展開、ユーザーおよび管理者パスワードの変更、TOTPトークンのリセットが含まれる場合があります。
侵害が疑われる場合は、パッチ適用のみに依存しないでください。
外部の参考文献やベンダーのガイダンスは変更される可能性があります。影響を受けるバージョン、修復、および更新された指標については、現在のSonicWallアドバイザリを信頼できる情報源として扱ってください。
コントリビューションを歓迎します。特に以下の分野で:
資格情報、セッショントークン、顧客情報、編集されていない本番ログ、内部ホスト名、機密IPアドレス、または無関係なエクスプロイトコードは提出しないでください。
このプロジェクトは、自分が所有する、または管理する明示的な権限があるシステムでのみ使用してください。調査中は証拠を保存し、該当する組織的、法的、契約的、規制上の要件に従ってください。
SonicWall、SMA、および関連する名称は、それぞれの所有者の商標である場合があります。このリポジトリでの使用は説明目的のみであり、提携、スポンサー、承認、または支援を意味するものではありません。
BSIの公開情報は防御セキュリティの文脈で参照されています。このリポジトリはBSIの公式公開物やツールではありません。
このプロジェクトを公開または再配布する前に、NOTICE.md を確認してください。
オリジナルのスクリプトと検出ロジックを再配布するために必要な権利があることを確認するまで、オープンソースライセンスを追加しないでください。スクリプトの名前を変更したり、コメントを変更しても、第三者の著作権、帰属、またはライセンス義務は消えません。
本ソフトウェアは、いかなる種類の保証もなく提供されます。自己責任で使用してください。すべての結果は、資格のあるセキュリティ担当者によって検証され、現在の公式ベンダーガイダンスと比較されるべきです。