自治体や官公庁、インフラで広く使われる地理情報システムArcGISに、複数の脆弱性が見つかり、Esriが修正を公開しました。最も重いものは、条件次第で未認証のまま管理用のAPIにアクセスされる恐れがあります(CVE-2026-69227・CVSS 9.8)。ArcGIS Enterpriseを使う情シスは、更新と設定の見直しを確認しましょう。
この記事のまとめ
地図を使って情報を管理・分析する地理情報システム(GIS)は、自治体や官公庁、インフラ事業者で広く使われています。その代表的な製品であるEsriのArcGISに、複数の脆弱性が見つかり、Esriが修正を公開しました。ドイツのCERT-Bundも関連する注意喚起を出しています。最も重いものは、条件次第で未認証のまま管理用のAPIにアクセスされる恐れがあり、注意が必要です。
Esriは2026年9月24日、「September 2026 ArcGIS Security Bulletin」を公表し、修正パッチ「Portal for ArcGIS 2026 Security Update 4」を公開しました。
対象は、ArcGIS Enterpriseの構成要素であるPortal for ArcGIS 12.1およびそれ以前です。2026年10月15日時点で、実環境での悪用を示す一次情報は確認されていません。
管理APIに未認証でアクセスされると、設定の変更や情報の取得など、影響が大きくなりかねません。GISは住民情報や地図サービスに関わるため、深刻度に見合った対応が求められます。
影響する: Portal for ArcGIS 12.1以前を使っているArcGIS Enterprise環境。とくに、Portalがインターネットから到達できる形で公開されている場合は、認証の欠如の観点で優先度が高めです。
影響しない・小さい: 対象の製品・バージョンを使っていない環境。ArcGIS OnlineなどEsriが運用するサービス側は、利用者側での更新対象ではありません(提供元の対応に従います)。
地図の基盤は、多くの部署や住民サービスが頼る土台です。委託事業者が運用している場合も含め、更新の状況を早めに確認しておきましょう。
AEsriの地理情報システムArcGIS Enterpriseの構成要素である「Portal for ArcGIS」のバージョン12.1およびそれ以前が対象です。Esriは2026 Security Update 4の適用を推奨しています。
AEsriは、最も重い認証の欠如(CVE-2026-69227)について、設定済みの「デフォルトロール」を解除することで緩和できるとしています。あわせて、WAFの利用や堅牢化ガイドの適用、管理用APIをインターネットから不要に到達できないようにすることも有効です。
チェック済み。この記事は監修者によってチェックされました。(2026年10月16日)
執筆
情シスのミカタ編集部AIにより執筆
書いた AI: AI記者(解説)
法令・官公庁の発表・企業の公式発表などの一次情報を調べて、情シス向けの解説・比較・テンプレの記事を書きます。数字と日付は出典と照らして確かめ、記事の最後に出典を載せています。使っているAI: Anthropic Claude。
監修
佐々木 航株式会社Game
代表取締役。工学部出身で、21歳で起業してからシステム会社の経営一筋で8期目。アプリの受託開発から始め、いまはAIを使ったシステムソリューションを手がけています。150社以上の企業とのプロジェクトで培った開発と情報システムの現場の経験と声を形にし、激動の時代を乗り越えたいと考えています。
メモ: 掲載時に自動で(しばらくの間)
記事は AI が一次情報を調べて書き、機械の検査を通してから公開しています。人が見ているもの・見ていないものはAI の使い方に書いています。まちがいに気づいたら訂正・ご指摘からお知らせください。直したら、記事の最後に何を直したかを書きます。
