社内のPCに配っている管理用のソフトに、脆弱性の公表が重なりました。JVNが11月9日に公表した5件と更新した2件のうち3件は、IT資産管理のSS1とSS1クラウド、リモート操作のWebSAM WinShare、監視のZabbix agentでした。どれも、PCやサーバーの側で動くエージェントの問題です。1
管理用のエージェント3製品の中で急ぐのは、WinShareです。CVSS v3の基本値が9.8の脆弱性が2件あり、リモート操作される側のPCに細工したパケットを送るだけで、SYSTEM権限でコマンドやコードを実行されるおそれがあります。
悪用の報告がある件も2つあります。Webtop Media Transcoderは、開発者が悪用を確認しました。OpenSSHの「sshole」では、JPCERT/CCが、Alpine Linuxをもとにした商用製品が国内で使われていると伝え、対策と侵害の調査を求めています。KUSANAGIの7と8には、修正版が出ません。
全台に配ったエージェントに、3件が重なった
3件を、攻撃の条件と修正の入手先でそろえると、手を付ける順番が見えてきます。
| 製品 |
入っている場所 |
攻撃の条件（CVSS v3） |
起きうること |
修正 |
| WebSAM WinShare |
リモート操作される側のPC |
2件は認証なしでネットワークから（9.8）、1件はログインした一般ユーザー（7.8） |
SYSTEM権限でのコマンドやコードの実行、SYSTEM権限の取得 |
最新版へ。版の番号はNECの告知で |
| SS1、SS1クラウド、rocoeyes |
管理されるPC |
1件は認証なしでネットワークから（5.3、3製品）、1件はローカル（4.0、SS1だけ） |
ファイルの削除、製品が使う機微な情報の取得 |
系列ごとの修正版。SS1は保守契約者向けのサイト、SS1クラウドとrocoeyesは管理者サイトから |
| Zabbix agent |
監視されるWindows |
ログインした利用者がローカルで（6.7） |
管理者権限でのコードの実行 |
6.0.48、7.0.29、7.4.13 |
点数はJVNの値で、上の行ほど急ぎます。
WinShareはネットワーク越しに届くうえに、起きることも3製品の中でいちばん重い。SS1の2件は点数こそ中くらいですが、全台に入っているソフトです。だから、上げ漏れのPCが1台でも残れば、そのPCのファイルをネットワーク越しに消されうる状態が続きます。Zabbix agentも管理者権限を取られる点は重いですが、すでにPCにログインできる人が前提なので、3つの中では後に回せるでしょう。
洗い出しは、一度で済ませられます。IT資産管理ツールを使っていれば、WinShareとZabbix agentの版も、ソフトウェアの台帳から引けます。SS1の更新と同じ日に進めれば、手間が減ります。ほかの製品も含めた今週の更新は、脆弱性の更新25件の図解で見渡せます。
SS1は、クラウド版でもエージェントを上げる
ディー・オー・エスの11月9日のお知らせによると、対象はSS1とSS1クラウドのエージェントです。JVNによると古い版にも手当てがあり、SS1の修正版はVer.13.0から17.1まで、10の系列に出ています。2
気をつけたいのは、クラウド版でも利用者の作業が残る点です。10月のPHPの脆弱性では、ディー・オー・エスがSS1クラウドの緊急メンテナンスを10月22日に終え、オンプレミス版のSS1は対象外でした。しかし今回は、PCに入るエージェントの問題です。ディー・オー・エスは、SS1クラウドの利用者にも、管理者サイトを確認して対応した版へ上げるよう求めました。
オンプレミス版の修正プログラムの案内は、保守契約のユーザー向けサイト「CLUB SS1」にあります。保守契約が切れているなら、入手の方法を販売元に聞くところから始まりそうです。
もう一つ見落としやすいのが、ロココのrocoeyesです。JVNはSS1とSS1クラウドの「ODM製品」として挙げていて、2件のうち、ファイルを削除される1件が当たります。ロココも11月9日のお知らせで、rocoeyesの管理者サイトから対応した版へ上げるよう求めました。製品の名前が違うので、SS1の知らせを読んでも自社の話だと気づきにくい製品です。SS1とほかの資産管理ツールの違いは、IT資産管理ツール8製品の地図で比べられます。
WinShareは、操作される側のPCが対象
JVNによると、WebSAM WinShareの3件で影響を受けるのは、どれもリモート操作の対象になるPCです。9.8の2件は、細工したパケットを送られるとSYSTEM権限で任意のコマンドやコードを実行されるもの。7.7系では7.7.2までが対象です。2
つまり、7.7系に上げてあっても安心はできません。JVNは修正した版の番号を示さず、「最新版へアップデート」と書くだけです。番号と入手先は、JVNのページの「ベンダの告知ページ」にあるNECの告知で確かめます。
操作される側のPCに、社外やVPNから通信が届く構成なら、今日のうちに上げます。社内のLANからしか届かなくても、別のPCが乗っ取られたあとの横展開に使われうるので、今週のうちには上げておきたいところです。脆弱性の中身はSecPulseのCVE-2026-113363のページで読めます。
Zabbix agentは、Windowsのインストール先で分かれる
Zabbix agentの件は8月28日に公表され、11月9日に対象の範囲と開発者の情報が更新されました。修正版は6.0.48、7.0.29、7.4.13です。8月の公表のあとに上げたPCも、使っている系列の修正版以降になっているか、見直しが要ります。JVNが引くZabbixのリリースノートによると、Windowsでインストール先を独自に指定したとき、その場所の権限の確認が足りませんでした。権限の緩い場所に入ると、DLLサイドローディングのおそれが高まります。
だとすれば、既定の場所に入れたPCより、C:\の直下などに独自のフォルダーを作って入れたPCから見ます。
悪用の報告がある、Webtopとsshole
Webtop Media Transcoderは、JVNが「緊急」の印を付けた1件（JVNVU#93403064）です。開発者によると、すでに悪用が確認されています。ログインできる攻撃者が細工したファイルを上げると、機微な情報を取られるおそれがあり、対象は1.1.22.0より前の版。パッチの入手は、開発者への問い合わせから。
JPCERT/CCは11月9日、OpenSSHの認証回避の脆弱性（CVE-2026-123158）について、CyberNewsFlashを出しました。Alpine Linuxをもとにした商用製品が国内で使われていることを確認した、という一文があります。自社のサーバーやコンテナの中のAlpineは、11月7日のssholeの記事の手順で探せます。ただ、買ってきた機器の中のOSまでは、自社から見えないこともあります。
攻撃の段階も一つ進みました。JPCERT/CCによると、GreyNoiseは11月5日以降に悪用の試みを観測しました。7日には観測用の環境で、認証回避による侵入から、侵入後のコマンドの実行、C2エージェントの設置までを確認したと報告しています。7日の記事の時点では「試み」でしたから、成功の報告が加わった形です。組織での侵害の例は、現時点で確認できていないとのこと。JPCERT/CCは、影響を受ける製品を使っていれば、速やかに対策を適用し、侵害の有無を調べるよう求めています。
社外にSSHのパスワード認証を開けている機器があれば、販売元に聞きます。Alpineかどうかより、CVE-2026-123158の影響があるかをそのまま聞くほうが確かです。条件はOSの名前ではなく、musl libcで動き、PAMを使わずにパスワード認証を有効にしたsshdであることなどだからです。glibcで動く一般的なLinuxは、条件に当たりません。
KUSANAGIの7と8は、設定の書き換えだけ
KUSANAGIでWordPressを動かしていても、WebサーバーがApache httpdなら対象外です。JVNVU#92635551によると、問題はNginx向けの設定ファイルにあるリダイレクトのルールです。細工したURLにアクセスさせると、HTTPレスポンスに任意のヘッダーを入れられるおそれがあります（CVSS v3 6.1）。
GMOプライム・ストラテジーの告知では、修正版はKUSANAGI 9のFree、Business、Premiumの各エディションが9.12.3-1以降、SecurityとEnterpriseが10.7.3-1以降です。上げるコマンドはdnf upgrade kusanagiで、SecurityとEnterpriseは、ミドルウェアの自動更新を有効にしていれば何もしなくても入ります。
ところが、KUSANAGI 7と8はサポートが終わっていて、アップデートは出ません。できるのは緩和策だけです。各プロファイルの設定ファイル（/etc/nginx/conf.d/{プロファイル名}_http.confと_ssl.conf）にあるrewrite /wp-admin$の行で、$uriを$request_uriに替え、Nginxを再起動します。
もっとも、急ぐ理由は点数ではありません。7や8で動くサイトには、この先の修正も届かないからです。会社のサイトを制作会社に作ってもらった場合は、KUSANAGIの版を情シスが知らないことも多いはずです。今回の書き換えを頼むついでに9への移行の予定も聞いておけば、次の脆弱性で慌てずに済みます。
冷凍ケースと電池、ITの外から来る火種
国家サイバー統括室は11月9日、冷凍や冷蔵の設備と、その温度を遠くから見るシステムをねらう攻撃について、事業者に注意を呼びかけました。欧州では、約700店舗のスーパーマーケットなどで遠隔監視が不正に操作されました。乗っ取られた制御機器から、同じ構内のPOSや業務システムに入り込まれるおそれもあるとのこと。保守業者の遠隔回線をだれが管理しているかを確かめる段取りは、今朝の冷凍冷蔵設備の記事で読めます。
消防庁は同じ9日、YouTubeアニメ『テイコウペンギン』と組んで、リチウムイオン電池の火災を防ぐ映像とポスターを発表しました。報道資料に付いた3月のリーフレットによると、リチウムイオン電池などから出た火災は、令和4年の601件から令和7年の1,297件へ、3年で約2.2倍です。令和7年の1,297件のうち482件、4割近くはモバイルバッテリーから出ていました。
この数には、ごみ収集車やごみ処理の施設で出た火災は入っていません。回収したスマホやモバイルバッテリー、古いノートPCを、廃棄に出すまで段ボールに詰めて倉庫に置いていませんか。
リーフレットの消し方は、思っているのと少し違います。まず周りに知らせ、身の安全を確保して119番に通報。出火したモバイルバッテリーはしばらくすると炎が弱まるので、近づけるようになってから、消火器か大量の水で消します。消えたあとも再び燃えるおそれがあるため、火ばさみなどでバケツの水に沈め、消防隊が来るまでそのままにしておきます。
ただ、この手順は、モバイルバッテリーなど小型の製品1つが燃えた場合のものです。まとめて置いた電池が燃え、炎が天井に届くようなら、消火器では消しにくくなります。リーフレットも、危ないと感じたらすぐに逃げるよう求めています。保管場所の張り紙は「まず逃げて119番」を先頭に置き、社員への注意の文も同じ順番にしておきます。
登録セキスペの申請は、上長の証明が要る
IPAは11月9日、情報処理安全確保支援士（登録セキスペ）の「実務経験者に対する講習制度」の申請を受け付けていると、改めて知らせました。実務経験が認められると、更新のための講習がオンライン講習だけになります。今回の対象は登録日が2024年10月1日、2021年10月1日、2018年10月1日の人で、受付は12月28日18時15分まで。手数料は1回3,500円です。
ただ、社内の情シスに関わるのは、むしろ証明する側です。会社に所属して積んだ実務は、企業内の上長が証明します。セキュリティ監視・運用のようにセキュリティそのものの仕事なら6か月以上、デジタルプロダクト運用のようにセキュリティを含む仕事なら1年以上が基準です。
部下に登録セキスペがいるなら、証明書を頼まれる前に、どんな仕事をどれだけの期間してきたかを本人とすり合わせておくと早く進みます。認定されてもされなくても、更新の申請は別に出します。
IPAは評価者に聞き取りをすることがあり、虚偽には資格の取消しなどで臨むとしています。証明書を書く前に、IPAの評価者向けの「記入のお願い」を読んでおくと、何を求められるかが分かります。
対象の会社は、入れた製品と届く経路で分かれる
- WinShareでPCをリモート操作している会社は、操作される側のPCに社外やVPNから届くなら今日、社内のLANだけでも今週のうちに上げます。
- Webtop Media Transcoderを運用している会社は、開発者にパッチを問い合わせます。悪用はすでに確認されています。
- SS1やSS1クラウド、rocoeyesを入れている会社は、エージェントを上げます。クラウド版も、利用者の作業です。
- Zabbix agentでWindowsを監視している会社は、版とインストール先を見ます。問題はWindowsでのインストールにあるため、Linuxのエージェントだけなら急がなくてよいでしょう。
- KUSANAGIのWordPressをNginxで動かしている会社は、版を見ます。7か8なら設定の書き換えで、Apache httpdなら対象外です。
- SSHのパスワード認証を外に開けている機器やサーバーがある会社は、ssholeの対象になりえます。musl libcで動く機器かどうかは、販売元に聞かないと分からないこともあります。
- 冷凍冷蔵の設備を持つ小売や物流、医療の会社は、保守業者の回線の確認が要ります。電池の火災と登録セキスペの申請は、業種を問わず関わります。
今日と今週の段取り
- Webtop Media Transcoderを運用していれば、今日のうちに開発者へパッチを問い合わせます。
- 社外にSSHのパスワード認証を開けている機器を一覧にし、販売元にCVE-2026-123158の影響を聞きます。当たる機器は、SSHのログに、パスワードでは入れないはずのアカウントの「Accepted password for」がないかも見ます。
- ヘルプデスクの担当に、WinShareを使っている部署と台数、操作される側のPCに社外から通信が届くかを聞きます。届くPCは今日、社内だけなら今週のうちに上げる予定を組み、版の番号と入手先はNECの告知で見ます。
- 資産管理ツールの台帳で、SS1やrocoeyesのエージェント、Zabbix agentの版ごとの台数を出します。オンプレミス版のSS1は、CLUB SS1に入れるか、つまり保守契約が切れていないかを先に見ます。
- 会社のサイトがKUSANAGIで動いているかを、制作や保守を頼んでいる会社に今週のうちに聞きます。7か8なら、設定を書き換える日まで決めます。
- 回収したモバイルバッテリーや古いスマホの保管場所を見に行き、「まず逃げて119番」を先頭に、消防庁のリーフレットにある消し方をその近くに張ります。
全台に入れた管理用のエージェントは、情シスのツールであると同時に、全台に共通の入口にもなります。とはいえ、3製品とも、資産管理の台帳を開けば台数まで数えられる話です。悪用の報告がある2件を確かめたら、WinShareの台数を数えるところから始めると、今週の仕事の大きさがつかめます。
