Rapid7は2026年10月19日、建物・設備・不動産を一元管理するEptura Archibusの脆弱性3件を公表しました。認証回避と別の欠陥を組み合わせると、認証なしでデータベース全体を読み取られたり、サーバー上でコードを実行されたりする恐れがあります。発表の表題では修正済みとしていますが、利用中の環境に修正が適用されているかは別途確認が必要です。
認証回避を起点に、情報取得やコード実行へ
Rapid7によると、認証回避の「CVE-2026-107186」は、旧式のAPIを通じて認証なしでワークフローを実行できる欠陥です。APIは、ソフトウェア同士が機能を呼び出すための仕組みです。深刻度を示すCVSSのスコアは8.6とされています。
データベース読み取りの「CVE-2026-107187」はCVSS 8.5です。認証回避と組み合わせることで、認証なしでデータベース全体を読み取れるとしています。漏えいし得る情報には、ユーザー名やパスワードが含まれます。
ファイルアップロードに関する「CVE-2026-107188」はCVSS 9.6です。こちらも認証回避と組み合わせて悪用すると、遠隔からサーバー上でコードを実行できるとしています。個別の欠陥だけでなく、複数の欠陥を組み合わせた影響を踏まえて確認する必要があります。
修正状況と、サーバーまでの通信経路を確認
攻撃には、ArchibusのサーバーへHTTP経由でネットワークアクセスできることが必要です。利用版の確認に加え、どのネットワークからサーバーへ到達できるかも、調査項目になります。
Archibusは、資産や保守作業、不動産の賃貸情報、座席・会議室の予約を管理する製品です。導入状況を調べる際は、情シスの管理台帳だけでなく、これらの業務を担当する部署にも利用の有無を確認するとよいでしょう。
Rapid7は、継続的に攻撃を検証するVector Commandサービスでの検証中に脆弱性を発見しました。発表は修正済みとしています。ただし、今回の資料には影響を受ける版、修正版の番号、具体的な更新手順は書かれていません。修正済みという表記だけで、自社環境も対応済みとは判断できません。
日本での提供は発表には書かれていません。日本向けの提供状況と、自社で利用している環境の有無は分けて確認してください。
影響する会社・しない会社
- 影響する: Eptura Archibusを利用している会社は、利用版と修正の適用状況を確認する必要があります。影響を受ける版の範囲は、今回の資料には書かれていません。
- 影響する: ArchibusサーバーへHTTP経由で到達できる経路がある会社は、その経路を確認する必要があります。インターネット公開だけが攻撃条件とはされていません。
- 影響しない: Eptura Archibusを利用していない会社は、今回公表された3件について同製品の更新を行う対象ではありません。他の製品にも同じ欠陥があるかは、今回の資料には書かれていません。
情シスが今日やること
- 今日の一次確認では、IT資産台帳や契約台帳の製品名・運用担当・保守窓口の欄でArchibusの有無を調べます。施設、資産、不動産、予約業務の担当部署にも照会し、未確認の部署を記録します。
- 運用担当または保守窓口へ、利用中の版、3件のCVEへの対応状況、適用すべき修正版と手順を問い合わせます。版を確認する管理画面の場所は資料にないため、窓口に確認方法も求めます。
- ネットワーク担当へ、Archibusサーバーに対するHTTP通信の許可元と公開範囲の確認を依頼します。確認結果には、到達できる接続元と、設定を管理する担当者を残します。
- 修正状況が分かった段階で、業務担当と保守窓口に更新日程を調整してもらいます。適用日が未定なら、担当者と次回回答期限を決めます。適用後は作業記録と版情報を照合し、3件への対応を確認した根拠を残します。
