エンタープライズ向けのデータベース「MarkLogic Server」に、管理者相当の権限につながる脆弱性が見つかりました。開発元のProgress Softwareは2026年8月、合計10件の脆弱性をまとめたセキュリティ告知を公開しています。その中の、管理者権限につながるものが、2026年10月に報道で取り上げられ、改めて注目されました。公開時点で、悪用は確認されていません。
MarkLogic Serverの脆弱性(2026年8月告知)の要点と対応(編集部作成)作成: 編集部 / もとの資料: Progress Software(MarkLogic Critical Security Alert Bulletin)、CVE Program
何が修正されたのか
報道で中心に取り上げられたのは、次の2件です。CVSSはいずれも最高レベルに近い深刻度です。
- CVE-2026-9192(CVSS 9.8): ODBC App Serverの認証バイパスです。CVSSのベクトルでは、認証が不要(PR:N)とされています。CVEのレコードによると、パスワードの検証を回避でき、認証なしのリモートの攻撃者が、管理者を含む任意の既存ユーザーとしてクエリを実行できる恐れがあります。
- CVE-2026-7329(CVSS 9.9): REST(SQL・SPARQL・Opticなど)のクエリインターフェースの権限昇格です。低い権限のRESTロールを持つ認証済みのユーザーが、管理者へ昇格できる恐れがあります。
なお、今回の告知は全10件で、ほかにもセキュリティデータベースへの特権操作につながる権限昇格などが含まれます。管理者権限につながる経路は、この2件だけではない点に注意してください。
対象と修正版
CVEのレコードによると、対象はMarkLogic Server 11.0.0〜11.3.6未満と、12.0.0〜12.0.3未満です。修正は、11.3.6および12.0.3以降で提供されます。10件はいずれも、この修正版で解消するとされています。
攻撃の前提は脆弱性ごとに異なります。CVE-2026-9192は認証が不要で、ODBC App Serverがネットワークから到達できる状態だと危険です。CVE-2026-7329は、低い権限の認証済みアカウントが必要です。いずれもネットワーク経由で成立するため、管理用やODBC、RESTのインターフェースが外部に露出していないかが重要になります。
影響する会社・しない会社
- 影響する: MarkLogic Serverの対象バージョンを使っている会社です。自社のサーバーでも、委託先が構築したシステムでも対象になります。
- 影響しない: MarkLogicを使っていない会社は、今回の告知の対象外です。MarkLogicは金融・公共・医療・出版などで使われるエンタープライズ向けのDBで、中小企業での利用は多くありません。
情シスが今日からできること
- MarkLogicの利用を棚卸しします。 自社や委託先のシステムで、MarkLogic Serverを使っていないかを確認します。使っている場合は、バージョンを確認します。
- 修正版へ更新します。 11.3.6または12.0.3以降への更新が、恒久的な対策です。すぐに更新できない場合は、次の暫定策を検討します。
- 露出を絞ります。 ODBC App ServerやRESTのインターフェース、管理用のポートを、信頼できるネットワークに限定し、インターネットや非信頼のネットワークに晒さないようにします。未使用のODBC App Serverは無効化し、RESTのロールの付与は最小限にします。
