CVE-2026-109594

🚨 Critical SonicWall GMS Vulnerability Exposes Internal Files Without Authentication, CVE-2026-109593 SonicWall has disclosed two security vulnerabilities in its Global Management System (GMS), including a critical flaw that allows attackers to access sensitive internal files without credentials or user interaction. The second vulnerability could allow authenticated attackers to exploit SQL injection and potentially access or modify information stored in the GMS database. CVE-2026-109593 | Critical • CVSS: 9.1 • Unauthenticated access to internal files • No privileges or user interaction required CVE-2026-109594 | Medium • CVSS: 6.8 • Authenticated SQL injection • Potential database access or modification Affected Systems: • SonicWall GMS 9.5.2 and earlier • Windows and Linux deployments • No security patch available, as GMS has reached end-of-life There is currently no identified public PoC or confirmed exploitation in the wild.

【11/4 朝】CVE・脆弱性ニュースまとめ ■国内 4日朝の時点で、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① WordPress「WordPress本体」（続報）：本体の更新中にログインなしでコードを実行されうる脆弱性を、米CISAが悪用確認済みとしてKEVに追加（CVE-2026-119977、CVSS v3.1 8.1） 10月31日に取り上げた、WordPress本体を「完全パッケージ」で更新する数秒間に、展開中のファイルを狙ってサーバー上でコードを実行されうる競合状態の脆弱性について、米CISAが3日（米国時間）に悪用確認済み脆弱性カタログ（KEV）へ追加しました。CVEの記録にもCISAによる「悪用あり（active）」の評価が付いており、米連邦機関には11月6日までの対応が求められています。CISAは具体的な被害の内容は明らかにしていません。影響は4.7〜7.1.3で、10月28日公開の7.1.4（4.7系まで各系列にも修正を提供）で修正されています。自動更新が止まっているサイトは、すぐにバージョンを確認して更新してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-119977 出典：WordPress https://wordpress.org/news/2026/10/wordpress-7-1-4 出典：CISA KEV https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-119977 ② Google「Chrome」：Chrome 157の安定版で213件の脆弱性を修正、うち7件がCritical（CVE-2026-121156ほか、CVE記録のCVSS v3.1 9.6） Googleが3日（米国時間）、Chrome 157をWindows、Mac、Linux向けの安定版として公開し、213件のセキュリティ修正を含むと発表しました。Criticalと評価されたのは、Dawn（WebGPUの実装）のバッファオーバーフロー（CVE-2026-121156、CVE-2026-121247）、ANGLE（グラフィックス処理）のメモリ破損（CVE-2026-121229）、WebGL・Prerender・Geometry・Coreの解放後使用（CVE-2026-121246、CVE-2026-121035、CVE-2026-121203、CVE-2026-121126）の7件です。CVEの記録では、細工したWebページを開くだけで、サンドボックスの外でコードを実行されるおそれがあるものが含まれています。修正版はLinuxが157.0.8103.38、Windows・Macが157.0.8103.38/39で、今回の発表には実際の悪用に関する記載はありません。順次配信されるため、メニューの「Chromeについて」から更新と再起動を確認してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-121156 出典：Chrome Releases https://chromereleases.googleblog.com/2026/11/stable-channel-update-for-desktop.html ③ SolarWinds「Dameware（リモート操作・保守ツール）」：遠隔操作先の端末を乗っ取られうるコマンドインジェクション（CVE-2026-28336、CVSS v3.1 9.9） 社内PCのリモートサポートに使われるDamewareで、コマンドインジェクションの脆弱性が3日に公表されました。SolarWindsによると、悪用には認証が必要ですが、成功すると遠隔操作されている側の端末が乗っ取られるおそれがあります。対象は2026.3以前のすべてのバージョンで、2026.3.1で修正されています。同時に、認証後のバッファオーバーフロー（CVE-2026-28335、CVSS 8.4）なども修正されました。現時点で悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-28336 出典：SolarWinds https://www.solarwinds.com/trust-center/security-advisories/CVE-2026-28336 ④ HPE「HPE Networking Fabric Composer（データセンターのネットワーク管理）」：ハードコードされたパスワードで、ログインなしに管理者権限を奪われうる脆弱性など（CVE-2026-95731、CVSS v3.1 9.8／CVE-2026-95732・CVE-2026-95733、9.6） HPEが、データセンターのスイッチ群をまとめて管理するFabric Composer（AFC）について、複数の脆弱性を公表しました。CVE-2026-95731はCLIに埋め込まれたパスワードの問題で、ログインしていない遠隔の攻撃者が管理者権限でシステムに入れてしまうおそれがあります。CVE-2026-95732とCVE-2026-95733は、同じネットワーク内の攻撃者が認証なしで任意のコードを実行できてしまう問題です。対象は7.4.0以前と7.3.4以前で、修正版は7.4.1以降と7.3.5以降です。HPEは社内の調査で見つけたもので、公開された攻撃コードは把握していないとしていますが、管理画面とCLIを専用の管理用ネットワークに限定するよう勧めています。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-95731 出典：HPE https://support.hpe.com/hpesc/public/docDisplay?docId=hpesbnw05172en_us&docLocale=en_US ⑤ SonicWall「GMS（Global Management System、ファイアウォールの統合管理）」：ログインなしで内部ファイルを読まれうる脆弱性、サポート終了製品のため修正版なし（CVE-2026-109593、CISAによる評価CVSS v3.1 9.1） SonicWallのファイアウォールをまとめて管理するGMSで、ネットワーク越しに届く攻撃者が、ログインせずにGMS内部のファイルを読み取り、機密情報を得られるおそれがある脆弱性が公表されました。あわせて、ログイン後のSQLインジェクション（CVE-2026-109594）も公表されています。対象は9.5.2以前で、SonicWallの勧告は「サポート終了（EOL）のGMS」が対象とする内容で、修正版の案内は確認できていません。現時点で悪用の報告は確認できていませんが、使い続けている場合はインターネットから届かないようにしたうえで、後継製品への移行を検討してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-109593 出典：SonicWall https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2026-0019 ⑥ Perforce「Puppet Enterprise（サーバー構成管理）」：エージェント証明書を持つだけで、Puppet Server上でコードを実行されうる脆弱性など2件（CVE-2026-115731、CVSS v4.0 9.4／CVE-2026-115732、9.0） 多数のサーバーの設定を自動で管理するPuppet Enterpriseで、2件の脆弱性が公表されました。CVE-2026-115731は、エージェントが送るレポートの処理に不正なデータを読み込んでしまう問題があり、認証局が署名したエージェント証明書を1枚でも持っていれば、Puppet Server上で任意のコードを実行できてしまうおそれがあります。証明書の発行を十分な確認なしに自動承認（autosign）している環境では、ログインしていない攻撃者でも証明書を手に入れられるとしています。CVE-2026-115732は証明書の名前の照合が甘く、似た名前の証明書で別のノードになりすませる問題で、Enterprise版では認証局の管理や管理対象ノードでのコマンド実行にもつながるとしています。対象は2023.8.13未満、2025.0〜2025.12.1未満、2026.0.1未満で、それぞれ2023.8.13、2025.12.1、2026.0.1で修正されています。現時点で悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-115731 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-115732 出典：Perforce https://portal.perforce.com/s/cve/a91Qi000003IaHpIAK/report-deserialization-code-execution ⑦ Docker「Docker Desktop for Windows（WSL2利用時）」：権限のないコンテナから、Windows側のサービスやファイルに届いてしまう脆弱性（CVE-2026-112917、CVSS v4.0 9.2） WSL2を使う構成のDocker Desktop for Windowsで、権限のないLinuxコンテナが32ビットのシステムコールを使うことで、既定のセキュリティ制限（seccomp）をすり抜けられる問題です。その結果、ホスト向けのサービスや、ログイン中の利用者がアクセスできるWindowsのファイルにコンテナから届いてしまうおそれがあります。対象はx86-64のWSL2で、完全に修正されるのはDocker Desktop 4.98.0以降とWSL 3.0.3以降を両方そろえた場合で、Docker Desktopだけ更新してWSLが古いままだと影響が残るとしています。現時点で悪用の報告は確認できていませんが、外部のイメージを動かす開発用PCでは両方の更新を確認してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-112917 出典：Docker https://docs.docker.com/desktop/release-notes/#4980 ⑧ NetApp「StorageGRID（オブジェクトストレージ）」：内部ネットワークの特定ポートから不正な要求を受け付けてしまう脆弱性（CVE-2026-22058、CVSS v4.0 9.1） NetAppのオブジェクトストレージStorageGRIDで、製品固有の知識を持ち、ノード間通信用の「Grid Network」の特定ポートに通信できる攻撃者が、認証なしで不正な要求を送れてしまう脆弱性が公表されました。対象は11.3以降で、修正版は11.9.0.15、12.0.0.9、12.1.0.1です。攻撃にはGrid Networkへ届くことが条件のため、まずはこのネットワークが外部や一般の社内ネットワークから切り離されているかを確認してください。現時点で悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-22058 出典：NetApp https://security.netapp.com/advisory/NTAP-20261103-0001 ⑨ FreeRDP「FreeRDP（オープンソースのリモートデスクトップクライアント）」：サーバー証明書の確認が甘く、RDP通信を盗聴・改ざんされうる脆弱性（CVE-2026-121392、CVSS v4.0 9.1／v3.1 7.4） LinuxなどでWindowsにリモートデスクトップ接続するときに使われるFreeRDPで、TLS証明書の確認処理が、別名の欄（SAN）が一致しなくても古い方式の名前（CN）で通してしまったり、IPアドレスとホスト名を混同して照合したりする問題です。利用者の端末が信頼する認証局の証明書を持つ攻撃者が通信の間に入ると、接続先の確認をすり抜け、キー入力やクリップボード、画面の内容を盗み見られるおそれがあります。対象は3.32.2より前で、3.32.2で修正されています。現時点で悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-121392 出典：FreeRDP（GitHub） https://github.com/FreeRDP/FreeRDP/security/advisories/GHSA-jq25-3374-4262 ■注意点 ・米CISAのKEVへの追加は、10月30日のIvanti Connect Secure 2件以来で、今回は①のWordPress本体1件のみです。 ・Firefoxも159.0.1でレイアウト処理の境界条件の不備（CVE-2026-120572、CISAによる評価CVSS 8.8）を修正しています。Amazon RedshiftのJDBCドライバーでも、接続URLを操作できる場合にコードを実行されうる問題（CVE-2026-119084、CVSS v4.0 9.2）が2.3.0で修正されました。 ・国内では3日が祝日だったため、休み明けの4日にJVN・JPCERT/CCから注意喚起がまとめて出る可能性があります。 #脆弱性 #CVE #サイバーセキュリティ