JVN iPediaは2026年10月14日、AccellionのKiteworks Coreに関する脆弱性CVE-2026-102110を掲載しました。ほかの3件を含め、対象版だけでなく、初期設定の進み具合や有効な機能、複数ノード構成かどうかで悪用の条件が異なります。利用企業は、自社の版と構成を照合して対応を判断する必要があります。
初期設定とリモートサポートに関する2件
CVE-2026-102110は、Kiteworks Core 9.5.1未満が対象です。初期設定用の接続先で、認証と状態確認が不十分とされています。問題が生じるのは、初回有効化中で構成が未完了の場合に限られます。
認証していないネットワーク上の攻撃者が有効化処理を繰り返し、設定を妨害する恐れがあります。その結果、構成が不完全なまま残る可能性があります。脆弱性の深刻度を示すCVSS v3基本値は5.9で、区分は「警告」です。
CVE-2026-102117も9.5.1未満が対象です。ただし、リモートサポート機能のライセンスがあり、機能が有効な環境という条件があります。さらに悪用には、認証済みのシステム管理者が送信データの保護キーを持つ必要があります。
サポート接続先を任意の場所へ変更でき、ローカルサービスアカウントの権限でリモートコード実行につながる恐れがあります。これは、離れた場所からプログラムを実行される問題です。CVSS v3基本値は7.2で「重要」です。版だけを見て、認証なしで悪用できる問題と捉えないことが大切です。
管理機能と複数ノード構成にも確認点
CVE-2026-102119は、Kiteworks Core 9.5.0未満が対象と記載されています。標準では有効でない、オプションの管理機能に問題があります。認証済み管理者が指定ディレクトリの外へファイルを移動できる「パストラバーサル」の脆弱性で、基盤システム上で任意のコードが実行される恐れがあります。CVSS v3基本値は7.2で「重要」です。
この情報では、ベンダー情報へのリンク名にKiteworks Email Protection Gatewayが対象と記載されています。製品名の記載に違いがあるため、自社の製品に適用される情報かどうかをベンダー情報で確認してください。
CVE-2026-102136は9.5.1未満が対象です。改行コードの混入によって処理に影響を与える「CRLFインジェクション」の脆弱性です。複数ノード構成で、攻撃者が既存ノードのコード実行権を持つ場合に悪用できます。
内部クラスタ経由の値を別ノードの監視設定に書く際、検証が不十分とされています。別ノードの非特権サービスアカウント権限で、OSコマンドを実行される恐れがあります。CVSS v3基本値は6.3で「警告」です。JVNはベンダー情報を確認し、適切な対策を実施するよう求めています。
影響する会社・しない会社
以下は各脆弱性の対象条件による区分です。特定の条件に該当しなくても、別の脆弱性まで影響がないとは判断できません。
- 影響する: Kiteworks Core 9.5.1未満を使い、初回有効化中で構成が未完了の会社。CVE-2026-102110の条件に該当します。
- 影響する: 9.5.1未満でリモートサポート機能のライセンスがあり、機能が有効な会社。または複数ノード構成の会社。管理者の保護キー保有や、既存ノードのコード実行権という追加条件も確認します。
- 影響する: 9.5.0未満で該当するオプションの管理機能を有効にしている会社。CVE-2026-102119は製品名の記載も照合が必要です。
- 影響しない: 初回有効化中かつ構成未完了という条件に当てはまらない環境は、CVE-2026-102110の発生条件に該当しません。
- 影響しない: リモートサポート機能が無効な環境、該当するオプションの管理機能が無効な環境、複数ノード構成ではない環境は、それぞれの機能・構成を前提とする問題の条件に該当しません。
- 影響しない: Kiteworks Core 9.5.1以降は、今回の4件に記載された対象版には含まれません。ただし、更新先や必要な対策はベンダー情報で確認します。
情シスが今日やること
- まず、資産台帳からKiteworks Coreの利用有無、版、管理担当者を確認します。版が不明なら、運用担当者や委託先に確認を依頼してください。資料には、版を表示する管理画面の名称や操作経路は書かれていません。
- 管理担当者に、初回有効化が完了しているか、リモートサポートが有効か、該当するオプションの管理機能を使っているか、複数ノード構成かを確認してもらいます。リモートサポートについては、ライセンスの有無と保護キーを持つ管理者も確認します。
- 4件のCVE番号、確認した版と構成をベンダーまたは保守窓口へ伝えます。CVE-2026-102119については製品名の違いも添え、自社環境への適用、更新先、必要な対策を問い合わせます。資料には具体的な更新手順はありません。
- 対象条件に該当する環境と未確認の環境を分け、システム責任者と利用部門に知らせます。今日の確認結果に基づき、対策の担当者と実施予定日を決めて記録してください。資料には対策期限が示されていないため、ベンダーの案内を確認して日程を調整します。
