カナダ サイバーセキュリティセンター(CCCS)は2026年10月15日付で、HPE製品の脆弱性勧告「AV26-1046」を公表しました。対象にはNonStop関連製品、HPE Integrated Lights-Out(iLO)、HPE Networking AOS-Switchが含まれます。利用企業は導入している製品とバージョンを照合し、勧告内のリンク先で詳細と必要な更新を確認してください。
iLOは世代別に対象バージョンを確認
今回の勧告では、iLOの世代ごとに影響するバージョンが示されています。同じ「iLO」という名称だけでまとめず、世代と導入版を組み合わせて確認する必要があります。
- HPE Integrated Lights-Out 5(iLO 5)：3.22未満。対象製品はHPE Gen10 Serversです。
- HPE Integrated Lights-Out 6(iLO 6)：1.79未満。
- HPE Integrated Lights-Out 7(iLO 7)：1.25.01未満。
iLO 5については、バージョンに加えて対象製品の条件も示されています。資産台帳にサーバーの製品名しか記録していない場合は、iLOの世代と導入版を追加で確認する進め方が考えられます。
NonStopとAOS-Switchも対象
iLO以外では、次の製品が影響対象です。「未満」と「以前」では境界のバージョンを含むかどうかが異なるため、照合時には表記も確認してください。
- HPE NonStop HTTP WEBSERVER：T1144L24^AAL以前。
- HPE NonStop Servers：複数のバージョンとモデル。
- HPE Networking AOS-Switch(AOS-S)：AOS-S 16.11.0031以前。
HPE NonStop Serversは、今回の情報だけでは対象となるモデルとバージョンを個別に特定できません。CCCSが確認を勧める勧告内のリンク先で、自社の構成が該当するかを調べる必要があります。
CCCSは、必要な更新が提供され次第、適用するよう推奨しています。影響対象の境界だけを見て、更新がすべて提供済みだと判断しないことが重要です。日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: 上記の対象バージョンのiLO、HPE NonStop HTTP WEBSERVER、AOS-Switchを利用している会社です。iLO 5はHPE Gen10 Serversが対象です。
- 影響する: HPE NonStop Serversを利用している会社は、対象モデルとバージョンの詳細照合が必要です。製品名だけでは該当の有無を判断できません。
- 影響しない: 今回列挙された製品を利用していない会社は、この対象製品一覧には該当しません。ただし、HPE製品全般の安全性を示す勧告ではありません。
情シスが今日やること
- 今日の確認では、まず資産台帳から対象製品を抽出します。サーバー担当とネットワーク担当に一覧を共有し、製品名、モデル、導入バージョンの記録を依頼してください。保守を委託している機器は、委託先にも確認を依頼します。
- 各製品の管理画面などで導入版を確認し、上記の条件と照合します。具体的な管理画面名や操作経路は、発表には書かれていません。不明な項目は「対象外」ではなく「未確認」として残してください。
- CCCSの勧告AV26-1046内のリンク先を開き、対象の詳細と更新の提供状況を確認します。特にHPE NonStop Serversは、モデルとバージョンの両方を照合してください。
- 対象機器と未確認機器を運用責任者に報告し、更新の確認担当と次の確認日を決めます。更新が提供済みなら適用日程を調整し、未提供なら提供状況の確認を続けてください。CCCSの推奨は、必要な更新が提供され次第の適用です。
