2026年8月11日（米国時間）、SonicWallがファイアウォール統合管理製品「Global Management System（GMS）」の脆弱性6件を公表し、修正版9.5.2を公開しました。最大深刻度はCVSS 9.4で、認証不要でリモートコード実行に至るものが含まれます。悪用は現時点で確認されていません。
ただし本件の要点はスコアではありません。GMSは2026年9月30日にサポート終了（EOS）が予定されている製品で、SonicWallはEOS日までは脆弱性修正のみ提供するとしています。つまり今回の更新は、GMSが受け取れる最後に近いセキュリティパッチである可能性が高い。残り約7週間で「当てる」と「乗り換える」を同時に判断する必要があります。
この記事でわかること
- SonicWall GMSとは何をする製品で、なぜ台帳から漏れやすいのか
- 公表された6件の中身と、優先すべき2件の見分け方
- 同時公表されたEmail Securityの2件（CVE-2026-66149／66150）
- EOSまで約7週間という時間軸と、NSM移行に付いてくる前提条件
- 自社に該当するかを短時間で判定する現実的な手順
SonicWall GMSとは何者か
GMSとは、SonicWall製ファイアウォールを複数台まとめて一元管理するための管理サーバ製品です。各拠点のファイアウォールに設定ポリシーを配布し、ログを集約し、レポートを出す役割を担います。
使うのは、支店・工場・店舗などにSonicWall製ファイアウォールを分散配置している組織と、複数顧客の機器をまとめて面倒を見る運用事業者です。提供形態はVMware／Hyper-V上で動く仮想アプライアンス版と、Windowsサーバにインストールする版があります。
ここが本件の肝ですが、GMSは「ファイアウォールそのもの」ではなく、その裏にいる管理サーバです。資産管理台帳には「拠点のファイアウォール○台」は載っていても、それを管理している仮想マシン1台が抜け落ちている——という状態が起こりやすい。導入時に構築したきり、日常的に誰も画面を開いていないケースもあります。「SonicWallの機器は把握している」と思っている担当者ほど、管理サーバ側を見落とします。
後述のとおり、この管理サーバを奪われることは、配下のファイアウォール全台の設定を書き換えられることとほぼ同義です。
何が公表されたのか：GMSに6件
影響を受けるのはGMS 9.5.1（Build 9510.1044）およびそれ以前で、修正版は9.5.2です。仮想アプライアンス版とWindows版の両方が対象です。
| CVE | CVSS | 種類 | 認証 |
|---|---|---|---|
| CVE-2026-66147 | 9.4（Critical） | Dispatcher Serviceのコマンドインジェクション → RCE | 不要 |
| CVE-2026-66145 | 9.1（Critical） | zipslip（パストラバーサル）→ 機密データ読み取り・任意ファイル書き込み | 不要 |
| CVE-2026-66154 | 8.3（High） | 証明書検証の不備 → 中間者攻撃で不正な変更 | — |
| CVE-2026-18634 | NVD未登録 | シリアライズオブジェクトの安全でない処理 | ローカル |
| CVE-2026-66148 | 6.3（Medium） | CLIのコマンドインジェクション → root権限で実行 | 要（低権限） |
| CVE-2026-66146 | 6.1（Medium） | クロスサイトスクリプティング（複数） | — |
優先すべきはどれか
認証を必要としない上位2件（CVE-2026-66147と66145）です。残り4件はローカルアクセスや低権限アカウント、あるいは利用者のブラウザ操作を前提としており、前提条件のハードルが一段高い。
CVSSベクタを見ると性格の違いがはっきりします。CVE-2026-66147は AV:N/AC:L/PR:N/UI:N/C:L/I:H/A:H で、機密性への影響はLowなのに完全性・可用性がHigh。「情報を抜く」より「設定を書き換える・止める」方向の脆弱性だと読めます。管理サーバに対してこれは、抜かれるより厄介です。
CVE-2026-66145は C:H/I:H/A:N。zipファイル展開時のパス処理の不備を突いて、想定外の場所へファイルを書き込む古典的な手口です。任意の場所にファイルを置ければ、実質的にコード実行へつながり得ます。
Email Securityにも2件（同日公表）
同じ日に、メールセキュリティアプライアンスの脆弱性2件も修正されています。CVE-2026-66149（netmask経由）とCVE-2026-66150（SNMP経由）で、いずれもCVSS 7.8。制限付きCLIにアクセスできる認証済みの攻撃者が、root権限でOSコマンドを実行できるというものです。対象はEmail Security 5000／5050／7000／7050／9000およびVMware版・Hyper-V版で、修正版は10.0.36です。
GMSほどの緊急度ではありませんが、同一ベンダ製品をまとめて棚卸しする良い機会ではあります。
いちばん厄介なのはEOSまでの時間
SonicWallはGMSのEOL（提供終了）を2025年5月に告知しており、公表されている日程は次のとおりです。
| フェーズ | 日付 |
|---|---|
| Last Day of Order（最終発注日） | 2025年10月1日 |
| Last Day of Support（サポート終了／EOS） | 2026年9月30日 |
SonicWallは移行先としてNetwork Security Manager（NSM）3.0のSaaS版／オンプレ版を案内しています。そしてEOS日までは脆弱性修正のみを提供すると明記しています。今回の9.5.2は、その「脆弱性修正のみ」の期間に出た更新にあたります。
移行に付いてくる条件を先に確認する
移行を検討する場合、SonicWallのFAQに書かれている前提条件が実務上のボトルネックになります。
- GMSからNSMへデータを移行するにはGMS 9.4.4以上である必要がある
- NSMへ移せるのは有効なサポート契約のあるファイアウォールに限られる
- ログ・レポートのデータは移行されない
最終発注日が2025年10月1日で既に過ぎているため、サポート契約が切れたまま放置していた組織は、移行の入口でつまずく可能性があります。「9月30日の直前に動けばいい」ではなく、契約状態の確認だけは今週やっておくべき類の話です。
現場目線：EOL製品にパッチが出るという意味
提供終了が決まった製品に対して、ベンダがCVSS 9点台の修正を出す。これは裏を返せば、まだ相当数の組織で現役稼働しているという事実を示しています。EOLのアナウンスは出ているのに、現場では動き続けている。よくある光景です。
正直なところ、こういう管理サーバは後回しにされがちです。エンドユーザーが困らないからです。ファイアウォール本体が落ちれば即座に電話が鳴りますが、管理サーバが古いままでも誰も気づかない。優先度を上げる理由が業務側から供給されないので、担当者が自分で理屈を作って上申するしかない。そこに時間を割けるかどうかは、率直に言って人員次第です。
さらに今週は、Microsoftの月例更新とAdobeの定例更新が重なり、日本では盆休みの直前です。稼働日で数えれば猶予はほとんどありません。全部を今週片づけようとせず、「自社にGMSがあるか／サポート契約は生きているか」の判定だけを休暇前に終わらせるのが現実的な線引きだと考えます。無いと分かれば、そこで終わりです。
なお境界機器やその管理系が狙われる流れは今に始まったものではありません。同じSonicWall製品ではSonicOSの管理画面を狙う脆弱性も出ていますし、侵害された境界機器が攻撃の中継拠点（ORB）に転用される事例も報告されています。「外向きの入口」を管理する箱そのものが標的だ、という前提で見ておく必要があります。
自社に該当するかをどう判定するか
資産台帳にGMSの記載がない前提で、次の順で当たるのが早いはずです。
- SonicWall製ファイアウォールを1台でも使っているかを確認する。使っていなければ、GMSの心配は不要です（Email Securityは別途確認）。
- 使っている場合、その設定を配布・管理しているのが何かを確認する。GMSなのか、NSMなのか、各機器を個別に手で設定しているのか。
- GMSがあるなら管理画面でバージョンを確認する。9.5.1以前なら対象です。仮想基盤のVM一覧やWindowsサーバ一覧を見て、稼働インスタンスを洗い出します。
- 導入・保守を販売店やSIerに委託している場合は、「GMSの有無・バージョン・サポート契約の有効期限」を文面で照会する。口頭確認は後で揉めます。
また、GMSの管理画面をインターネットから到達可能な状態に置いていないかも併せて確認してください。今回の上位2件は認証不要で成立するため、到達性の有無が被害の分かれ目になります。
情シスはどうすべきか
対象バージョンと修正版の番号は、必ずSonicWall PSIRTの原文で確認してください。要約記事の数字を転記すると事故のもとになります。
そのうえで、今回のような「管理サーバが台帳から漏れる」問題への処方箋は、結局のところ資産管理に戻ってきます。自前で長いチェックリストを作るより、公的機関の指針に沿って整えるほうが早道です。
- 中小企業の情報セキュリティ対策ガイドライン（IPA） … 情報資産の洗い出しと管理台帳の作り方が具体例つきで載っています。付録の台帳サンプルは「機器」だけでなく「その管理系」まで書ける構成になっており、今回のようなケースにそのまま効きます。
- セキュリティインシデント対応 机上演習教材（IPA） … 「管理サーバが乗っ取られた」という想定は演習ネタとして扱いやすく、経営層に必要性を説明する材料にもなります。
加えて、EOLを迎える製品の棚卸しを年次の作業として組み込むことをおすすめします。サポート終了後も使われ続けた製品が狙われるのは繰り返されているパターンで、GMSも例外にはなりません。地味ですが、脆弱性情報が届いたときに該当有無を1日で判定できる状態にあるかどうかが、この種のニュースへの耐性をほぼ決めます。
まとめ
- SonicWall GMS 9.5.1以前に6件の脆弱性。修正版は9.5.2。優先すべきは認証不要のCVE-2026-66147（CVSS 9.4、RCE）とCVE-2026-66145（9.1、zipslip）の2件。悪用は現時点で未確認。
- GMSはファイアウォールの管理サーバであり、台帳から漏れやすい。「SonicWallの機器は把握している」と思っていても、それを管理している仮想マシン1台が抜けていることがある。奪われれば配下の全台に及ぶ。
- GMSのサポート終了は2026年9月30日。残り約7週間。NSMへの移行にはGMS 9.4.4以上と有効なサポート契約が必要で、最終発注日（2025年10月1日）は既に過ぎている。パッチ適用と並行して、契約状態の確認を先に済ませる。
