スペインの国立サイバーセキュリティ研究所INCIBEは2026年10月19日、MobatekのMobaXtermに、プラグインの改ざんを検知せず読み込む脆弱性があると公表しました。対象はMobaXterm Personal Edition (Portable) 26.4 GAで、利用者の権限で不正なコードが実行される恐れがあります。INCIBEは26.5以降への更新を対策として案内しています。
プラグインを書き換えられると、機能の起動時に実行される恐れ
MobaXtermは、リモート接続機能やUnixツールを備えるWindows用端末ソフトです。今回の脆弱性の識別子はCVE-2026-112161です。INCIBEは深刻度を「高」と評価し、深刻度の指標であるCVSS v4.0の基本値を8.5としています。
問題は、CygUtils64.pluginを展開する前に、内容が改ざんされていないかを確かめる整合性検証を行わない点です。データの真正性検証が不十分な問題として、CWE-345に分類されています。
INCIBEによると、ローカルの攻撃者がこのプラグインへの書き込み権限を持っている場合、内部のbin/cygwin1.dllを悪意あるライブラリに置き換えられます。その後、利用者がLocal Shellを起動したり、Cygwinに依存する機能を使ったりすると、改ざんされたDLLが読み込まれます。DLLは、プログラムから読み込んで使う部品です。
つまり、確認すべき点は利用版だけではありません。対象のプラグインを誰が書き換えられる状態にしているかも、悪用条件を把握する手掛かりになります。
対策は26.5以降への更新、権限昇格とは区別を
コードが実行される際の権限は、被害者となる利用者の権限です。INCIBEは、この脆弱性の悪用だけでは権限昇格は起きないと説明しています。外部から無条件に実行できる問題や、これだけで管理者権限を得る問題とは区別して扱う必要があります。
一方、権限昇格がないことは、対応が不要という意味ではありません。対象版と、プラグインを書き換えられる条件の両方を確認し、更新につなげることが重要です。
対策として案内されているMobaXterm 26.5は、2026年9月11日に公開されています。今回の公表日と対策版の公開日は異なります。更新の判断では、公表日だけでなく、端末で実際に使っている版を確認してください。日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: MobaXterm Personal Edition (Portable) 26.4 GAを利用している会社です。対象端末と利用者を洗い出し、更新状況を確認する必要があります。
- 影響する: 対象版のCygUtils64.pluginに対し、ローカルの攻撃者が書き込み権限を持ち得る環境です。利用者がLocal ShellやCygwin依存機能を使うことが、改ざんDLLを読み込む契機になります。
- 影響しない: MobaXtermを利用していない会社は、今回示された対象製品には該当しません。
- 影響しない: 26.5以降は、INCIBEが更新先として案内しています。それ以外の版やエディションの扱いは、発表には書かれていません。
情シスが今日やること
- 本日、IT資産台帳や端末管理画面のソフトウェア一覧でMobaXtermを探します。製品名だけで判断せず、利用者にエディション、Portable版かどうか、版番号を確認し、26.4 GAの対象端末を一覧にします。
- 対象端末の管理担当者に、CygUtils64.pluginの保存場所とファイルのアクセス権を確認してもらいます。誰が書き込めるかを記録し、版番号の確認結果と合わせて管理します。権限の確認だけで更新を済ませた扱いにはしません。
- 対象版の利用者とサーバー運用担当者に、Local ShellやCygwin依存機能が改ざんDLLを読み込む契機になることを知らせます。本日中に、26.5以降への更新担当者と実施期限を決めてください。これは社内対応の提案であり、INCIBEが指定した期限ではありません。
- 更新後は、実際の利用版が26.5以降になったことを確認します。確認結果と未更新端末を台帳に残し、未更新分は担当者と期限を追跡してください。
