Network & Infrastructure2026-11-07約12分で読めます

SonicWall SSLVPN CVE-2026-19868ほか3件 — 11月7日の脆弱性まとめ（悪用確認1件）

SonicWall SSLVPN の悪用確認・SAML有効時に影響・修正版へ更新が今日の対応。Gen7は7.3.4-7013、Gen8は8.2.3-8015以上へ。Entra（CVSS 10.0）はMicrosoft側で対処済みで作業不要。Craft CMSとWordPress payeverの更新も整理。

脆弱性情報まとめセキュリティ ITリスク対策 CVE 脆弱性 VPN Microsoft 365 WordPress

最優先は SonicWall SonicOS の SSLVPN の欠陥 CVE-2026-19868 である。実環境での悪用の可能性が報告され、CISA の KEV（悪用が確認された脆弱性の一覧）にも11月6日に追加された。影響を受けるのは、SSLVPN のログインで SAML を有効にしている場合である。該当する会社は、Gen7 は 7.3.4-7013 以上、Gen8 は 8.2.3-8015 以上へ更新する。ベンダーが示す回避策はない。なお Microsoft Entra Device Registration の CVE-2026-109469 は CVSS 10.0 だが、Microsoft 側で対処済みであり、利用者の作業はない。ほかに Craft CMS（CVSS 9.8）と、WordPress プラグイン payever Checkout（CVSS 9.8）にも更新が出ている。

11月7日（JST）に確認した CISA の KEV、SonicWall PSIRT のアドバイザリ、MSRC、NVD、GitHub のセキュリティアドバイザリ、Wordfence の記載に基づく。JPCERT/CC と IPA には、11月6日から7日にかけて新しい注意喚起はなかった。明記のない点は「公表されていない」とする。本日の4件のうち、悪用が確認されたのは SonicWall の1件だけで、ほかの3件は実環境での悪用は報告されていない。

今日の脆弱性一覧

製品	CVE	深刻度（CVSS）	悪用状況	対処（修正版）
SonicWall SonicOS（SSLVPN）	CVE-2026-19868	7.1（ベンダー評価。CISA-ADP は 7.5）	悪用の可能性が報告され、CISA KEV に掲載（期限 11月20日）	Gen7: 7.3.4-7013 以上 / Gen8: 8.2.3-8015 以上
Microsoft Entra Device Registration	CVE-2026-109469	10.0 Critical（Microsoft 評価）	悪用なし・公開なし	Microsoft 側で対処済み。利用者の作業なし
Craft CMS	CVE-2026-123488	9.8（CVSS 3.1）/ 9.3（CVSS 4.0）	悪用の報告なし	4.18.9 または 5.11.2 以上
WordPress プラグイン payever Checkout	CVE-2026-93754	9.8（Wordfence 評価）	悪用の報告なし	4.8.0 以前が対象。最新版へ更新し、Wordfence で修正版を確認

1. SonicWall SonicOS SSLVPN CVE-2026-19868 — SAML を有効にしていると、MFA を回避され得る

SonicWall のアドバイザリ SNWLID-2026-0014（11月6日公開）によると、SonicOS の SSLVPN サービスに「認証の強制」の欠陥がある。別の認証方法で有効な認証情報を持つ利用者が、SAML の認証制御を回避できる可能性があり、SAML で強制している MFA（多要素認証）も回避され得る。深刻度はベンダー評価で CVSS 3.1 の 7.1、弱点の種類は CWE-308（単一要素認証の使用）である。NVD には CISA-ADP による 7.5 の評価も載っている。

ベンダーは「悪用の可能性がある報告を調査した」と述べ、できるだけ早く最新版へ更新するよう強く求めている。CISA は11月6日に KEV へ追加し、対処期限を11月20日とした。

平易に言うと、SSLVPN に SAML（社内の ID 基盤によるシングルサインオン）と MFA を設定していても、別の認証方法のパスワードを知る人が、その関門を通らずに入れる可能性がある。アドバイザリは、この欠陥が影響するのは「SSLVPN のログインで SAML を有効にしている場合のみ」と明記している。SAML を使っていなければ、この CVE の影響はない。

影響を受ける版と修正版は次のとおりである。

世代	対象機種	影響を受ける版	修正版
Gen7	ハードウェア（TZ 270〜670、NSa 2700〜6700、NSsp 10700〜15700）と NSv 270/470/870	7.3.3-7015 以前	7.3.4-7013 以上
Gen8	ハードウェア（TZ 80〜680、NSa 2800〜5800）と NSv XS/S/M/L	8.2.2-8015 以前	8.2.3-8015 以上

回避策はベンダーから示されていない。更新までの一般的な備え（ベンダーの回避策ではない）として、SSLVPN と管理画面の公開範囲を絞ること、ログイン記録を見直すこと、SAML 以外の認証方法（ローカルや LDAP のパスワードなど）で入れる利用者がいないかを確認することが考えられる。

同じアドバイザリには、ほかに6件の CVE が含まれ、同じ修正版で直る。管理画面の CVE-2026-107155 と CVE-2026-107154（各 CVSS 8.8）、SSL-VPN の認証前ヒープオーバーフローによる DoS の CVE-2026-82308（7.5）、TACACS+ 認証クライアントの CVE-2026-77708 と CVE-2026-77709（各 5.9）、仮想アプライアンスの弱いパスワードハッシュ CVE-2026-19703（5.2）である。アドバイザリ全体の評価は CVSS 8.8。

影響の確認と対処の手順は、SonicWall CVE-2026-19868 の影響確認と対処手順にまとめている。公式: SonicWall PSIRT SNWLID-2026-0014、NVD

2. Microsoft Entra Device Registration CVE-2026-109469 — CVSS 10.0 だが、利用者の作業はない

MSRC の記載によると、Entra Device Registration の権限昇格の脆弱性である。ユーザーが制御できる鍵による認可の回避（CWE-639）で、認証されていない攻撃者がネットワーク越しに権限を昇格できる。Microsoft の評価は CVSS 10.0（Critical、temporal は 8.7）、悪用は確認されておらず、公開もされていない。

数字は最大だが、MSRC は「すでに Microsoft が完全に対処済みで、このサービスの利用者が行う作業はない」と説明している。クラウドサービスの CVE を透明性のために公開したものである。Entra を使っている会社でも、修正版の適用や設定変更は不要である。公式: MSRC CVE-2026-109469

3. Craft CMS CVE-2026-123488 — 認証なしの SQL インジェクション（CVSS 9.8）

NVD と GitHub のアドバイザリ（GHSA-qcvp-ggx3-97r6）によると、Craft CMS 4.0.0 以上 4.18.9 未満と、5.0.0 以上 5.11.2 未満に、要素検索のエンドポイントで認証なしの SQL インジェクションがある。attribute パラメータが無害化されずに連結される。攻撃者はデータベースを読み書きし、管理者権限を得られる。深刻度は CVSS 3.1 で 9.8、CVSS 4.0 で 9.3 である。実環境での悪用は報告されていない。

平易に言うと、検索機能を悪用され、ログインなしでデータベースを書き換えられ得る。修正版は 4.18.9 と 5.11.2 である。Craft CMS を使っている場合は、制作会社に版を確認して更新を依頼する。自分で確認するなら、プロジェクトのディレクトリで次を実行するか、管理画面のユーティリティで版を見る。

# Craft CMS の版を確認する（プロジェクトのディレクトリで実行）
composer show craftcms/cms

公式: GitHub アドバイザリ GHSA-qcvp-ggx3-97r6、NVD

4. WordPress プラグイン payever Checkout CVE-2026-93754 — 認証なしのファイルアップロード（CVSS 9.8）

NVD（11月7日公開）と Wordfence によると、WooCommerce 向けの決済プラグイン payever Checkout（payever-woocommerce-gateway）の 4.8.0 以前に、認証なしの任意ファイルアップロードの欠陥があり、サーバー上でコードを実行される（RCE）おそれがある。WooCommerce の API 用の3つのコールバックに認証・権限確認・nonce がなかった。深刻度は Wordfence の評価で CVSS 9.8。実環境での悪用は報告されていない。

WordPress.org のプラグインページでは、最新版は 4.9.0（2026年10月23日更新）、有効インストール数は約800である。4.9.0 が修正版だと確定した情報は、今回確認できていない。4.8.0 以前が対象であるため、最新版へ更新し、修正版は Wordfence の記載で確認する。使っているか、版は何かは、WP-CLI なら次で確認できる。使っていなければ対象外である。

# 導入済みプラグインの一覧
wp plugin list

# payever プラグインの版だけを表示
wp plugin get payever-woocommerce-gateway --field=version

公式: Wordfence、NVD

非IT担当者向け: 今日やることチェックリスト

- 社内に SonicWall のファイアウォール（TZ、NSa、NSsp、NSv）があるか、担当者や導入業者に聞く。なければ SonicWall の件は対象外
- あれば、SSLVPN のログインで SAML を有効にしているかを確認する。有効なら、Gen7 は 7.3.4-7013 以上、Gen8 は 8.2.3-8015 以上への更新を、今日中に依頼する
- 更新までの間、SSLVPN のログイン記録に見覚えのない接続がないかを確認する
- Microsoft Entra（Microsoft 365）の件は、Microsoft 側で対処済みのため、社内での作業は不要と把握しておく
- 自社サイトが Craft CMS で作られていないかを制作会社に聞く。該当すれば 4.18.9 / 5.11.2 以上への更新を依頼する
- 自社サイトが WordPress と WooCommerce の場合、payever のプラグインを使っていないかを確認する。使っていれば最新版へ更新する

- SonicWall CVE-2026-19868 の影響確認と対処手順
- 11月6日の脆弱性まとめ
- Ivanti Connect Secure CVE-2026-111357 の悪用と対応ガイド
- UTM・ファイアウォールの費用（中小企業向け）
- パッチ管理の始め方（中小企業向け）

出典

- SonicWall PSIRT: SNWLID-2026-0014
- CISA: Known Exploited Vulnerabilities Catalog
- NVD: CVE-2026-19868
- MSRC: CVE-2026-109469
- NVD: CVE-2026-123488
- GitHub アドバイザリ: GHSA-qcvp-ggx3-97r6（Craft CMS）
- NVD: CVE-2026-93754
- Wordfence: payever Checkout の脆弱性

よくある質問

SonicWall を使っていますが、必ず影響を受けますか。

いいえ。CVE-2026-19868 が影響するのは、SSLVPN のログインで SAML を有効にしている場合のみです。SAML を使っていなければこの CVE の影響はありません。ただし同じアドバイザリの他の6件の CVE も同じ修正版で直るため、対象の版であれば更新をおすすめします。

Microsoft Entra の CVSS 10.0 は、すぐ対応が必要ですか。

不要です。MSRC は、Microsoft がすでに完全に対処済みで、利用者が行う作業はないと説明しています。悪用も公開も確認されていません。数字の大きさだけで判断せず、悪用状況と利用者の作業の要否を見るのが大切です。

SonicWall の修正版はどれですか。

Gen7 は 7.3.4-7013 以上、Gen8 は 8.2.3-8015 以上です。影響を受けるのは Gen7 が 7.3.3-7015 以前、Gen8 が 8.2.2-8015 以前です。ベンダーが示す回避策はありません。

WordPress の payever プラグインは、更新すれば安全ですか。

4.8.0 以前が対象です。最新版は執筆時点で 4.9.0 ですが、これが修正版だと確定した情報は確認できていません。最新版へ更新したうえで、Wordfence の記載で修正版を確認してください。

この記事に関連する無料ツール（登録不要・その場で結果）

ホシュ診断（保守リスク健康診断）8つの質問でサイト・システムの保守リスクを3段階判定

お気軽にご相談ください

お問い合わせ