Mattermost Serverに脆弱性、11.7系の利用企業は対象版確認を

フランスのCERT-FRは2026年10月23日、Mattermost Serverの脆弱性を公表しました。対象は11.7.x系のうち、11.7.14未満のバージョンです。利用企業は自社の稼働版を確認し、開発元のセキュリティ情報に沿って修正の入手方法を確かめる必要があります。

対象は11.7.x系、まず稼働版を確認

今回の情報は、Mattermostのセキュリティ情報「MMSA-2026-00708」に基づいています。開発元の情報の発行日は2026年10月22日です。CERT-FRの文書番号は「CERTFR-2026-AVI-1368」で、初版と最終更新日はともに2026年10月23日です。

確認のポイントは、製品名だけでなく、稼働中のバージョンまで照合することです。Mattermost Serverを使っているという情報だけでは、今回の対象かどうかは判断できません。11.7.x系であるか、そのうえで11.7.14未満であるかを確認します。

CERT-FRは、修正の入手について開発元のセキュリティ情報を参照するよう案内しています。掲載先は https://mattermost.com/security-updates/ です。今回示された対象範囲と、実際に導入する修正版の案内を照らし合わせてください。

具体的なリスクは示されていない

CERT-FRによると、攻撃者が詳細不明のセキュリティ問題を引き起こせます。一方、脆弱性のリスクについて、開発元は具体的に示していません。

この情報だけで、情報漏えいやサーバー停止につながると断定することはできません。逆に、詳細が少ないことを理由に、影響が小さいと判断することも避けたいところです。社内への連絡では、対象版という確認できた事実と、具体的な影響が不明という点を分けて伝えます。

日本での提供は発表には書かれていません。今回の対象確認では、発表に示された製品名とバージョン条件を軸に、自社環境と照合することが必要です。

影響する会社・しない会社

• 影響する: Mattermost Serverの11.7.x系で、11.7.14未満を運用する会社です。運用を委託している場合も、委託先に稼働版と修正対応を確認します。
• 影響しない: Mattermost Serverを利用していない会社は、今回の製品の修正対応の対象ではありません。ただし、自社管理分だけでなく、委託先での利用有無も確認して判断します。
• 影響しない: 今回示された対象範囲には、11.7.14以降は含まれません。ただし、他の系列も含めた製品全体の安全性を保証する情報ではありません。対象範囲外の版に関する詳しい説明は、発表には書かれていません。

情シスが今日やること

1. 今日の確認で、利用有無と稼働版をそろえます。 社内の管理台帳や運用記録を確認し、分からなければサーバー管理者に照会します。版を確認する管理画面の名称や操作経路は、発表には書かれていません。確認できない環境は「対象外」ではなく「未確認」として残します。
2. 開発元の情報で修正内容を確認します。 セキュリティ情報の掲載先で「MMSA-2026-00708」を照合し、修正版の入手方法を確認します。11.7.14という対象範囲の境界だけを見て、導入手順まで決まったと扱わないようにします。
3. 対象環境の運用担当者へ、確認結果を共有します。 製品名、稼働版、対象条件、情報番号をまとめて伝え、更新の担当者と実施予定日を決めます。委託運用なら、委託先から同じ項目で回答を受けます。対応期限は、発表には書かれていません。
4. 更新後の確認方法も決めます。 作業後は稼働版を再確認し、管理台帳に反映する段取りにします。実施前は「対応予定」、確認後は「対応済み」と分けて記録すれば、未確認の環境を取りこぼしにくくなります。