Juniper Junos OSに脆弱性4件 一部はrootで制御奪取のおそれ

Juniperが、ネットワーク機器のOS「Junos OS」の脆弱性4件をまとめた、2026年10月のセキュリティ情報を公表しました。ルーターやファイアウォールといった、社内ネットワークの中核を担う機器に関わる内容です。悪用は確認されていませんが、対象機を使っている組織は、計画的な更新が必要です。

何が見つかったのか

公表された4件は、次のとおりです。

• CVE-2026-102079(MXシリーズ・コマンドインジェクション): いちばん深刻な問題です。CLI(コマンド操作)で、特定の「request」コマンドの入力が十分に確認されないため、ローカルの低権限の攻撃者が、root権限でコマンドを実行し、機器を完全に制御できるおそれがあります。深刻度はHigh(CVSS v4.0で8.5)です。
• CVE-2026-102080(MXシリーズ・サービス妨害): 不正な形式のクロック信号(SyncEやPTP)を受け取ると、機器の制御部(RE)の切り替わりが連続して起こり、サービス妨害につながります。
• CVE-2026-102083(SRXシリーズ・サービス妨害): Webフィルタリングを有効にしている場合に、長時間のHTTPセッションの負荷で、機器がクラッシュするおそれがあります。
• CVE-2026-102085(Junos OS Evolved・ポートの露出): 意図せず公開されたポートに、攻撃者が到達できてしまう問題です。

Juniper SIRT(セキュリティ対応チーム)は、現時点でこれらの脆弱性の悪用は確認していないとしています。CVE-2026-102079は、社内での製品のセキュリティ検査の過程で見つかったものです。

影響を受けるのはどんな環境か

関係するのは、Junos OSを搭載するJuniperのネットワーク機器を使っている組織です。対象は、MXシリーズ(ルーターなど)、SRXシリーズ(ファイアウォールなど)、およびJunos OS Evolvedです。影響を受ける版は脆弱性ごとに異なります(たとえばCVE-2026-102079は、Junos OS 24.4・25.2・25.4の一部)。これらの機器は、社内外の通信の中核を担っていることが多く、止まると影響が広い範囲に及びます。

情シスが今日やること

• 対象機と版を確認する: 自組織でJuniperのMX・SRX・Junos OS Evolvedを使っているかを洗い出し、それぞれの版を確認します。
• JSAで対象と修正版を確かめる: Juniperの2026年10月のセキュリティ情報(JSA)で、自機の版が対象かどうかと、修正版の番号を確認します。CVE-2026-102079のコマンドインジェクションは、root権限の奪取につながるため、優先度を高めに見ます。
• 設定で影響を減らせるか見る: たとえばSRXのWebフィルタリングに関する問題(CVE-2026-102083)など、設定や機能の使い方で影響が変わるものもあります。各JSAの回避策の記載を確認します。
• 止められない中核機器は段取りを組む: ルーターやファイアウォールは、止めると影響が大きいため、冗長化の状況を確認し、1台ずつ更新・再起動する順番と時間帯を決めておきます。

ネットワーク機器は、普段は意識されにくい一方、止まると業務全体に響く土台です。悪用がまだ確認されていない今のうちに、対象の有無を確かめ、通常のメンテナンスの枠で計画的に更新を進めておくことが、落ち着いた対応につながります。