仮想基盤やHCI(サーバー・ストレージ・ネットワークを1つにまとめた基盤)で使われるNutanixが、管理画面「Prism」に、認証なしで最高管理者の権限を奪われる脆弱性(CVE-2026-84731)を公表しました。CVSSは9.8です。名前に「管理者権限」と付いていますが、攻撃に管理者権限が要るのではなく、攻撃の結果として管理者権限を奪われる、という種類の問題です。この記事は、Nutanixのセキュリティ勧告(SA-58)とCVEの記録をもとにまとめます。
何が起きるのか
Nutanixは2026年10月15日、セキュリティ勧告SA-58「Prism Auth Bypass」(深刻度Critical)を公表しました。内容は次のとおりです。
- 攻撃に必要なもの: Prismの管理ポート(TCP 9440)に、通信が届くことだけ。認証もユーザーの操作も要らない
- 手口: APIへの要求に、細工した「内部管理用」のHTTPヘッダーを付けると、認証の仕組みの設定の不備で、そのまま通り抜けてしまう
- 結果: クラスタの最高管理者の権限を持つセッションを得て、管理機能を全て操作でき、クラスタ内の管理用の仮想マシン(CVM)でroot権限のコマンドを実行できる
CVEの記録では、クラスタの完全な破壊や、仮想マシンのメモリ・仮想ディスクへの不正なアクセスにつながるとしています。
影響する版と、修正版
| 項目 |
内容 |
| CVE |
CVE-2026-84731 |
| CVSS |
3.1は9.8(Critical)、4.0は9.3(いずれもNutanixの値) |
| 影響する製品 |
AOS(Prism Element)とPrism Central |
| 影響する版 |
7.3.1.18未満、7.5系の7.5.2未満、7.6系の7.6.0.8未満 |
| 修正版 |
7.6.0.8、7.5.2、7.3.1.18 |
修正版が出ているのは7.3・7.5・7.6の各系列です。それより古い系列を使っている場合は、修正版の一覧から読み取れる範囲では、修正のある系列へ上げる必要があります。なお、Prism Centralが対象に含まれるかについて、勧告のPDFとCVEの記録で記載が食い違っています。この記事は、勧告のPDFに合わせて両方を対象としています。範囲は今後改訂される可能性があります。
同じ時期に、別の勧告SA-57(Apache CXFの脆弱性、最大CVSS 9.8)も出ています。こちらは7.3系と7.5系が対象で、7.6系は対象外です。7.3.1.18に上げてもSA-57は残るため、両方を解消したい場合は、7.6.0.8への更新が選択肢になります。
悪用の状況
現時点で、実際の攻撃の報告は見つかっていません。Nutanixは、報告を受けた時点で検証はしたものの、公開された攻撃コードや自動化ツールは確認していないとしています。米CISAの既知の悪用脆弱性(KEV)にも載っていません。
GitHubには「PoC」をうたうリポジトリがありますが、本物のヘッダー名は公表されておらず、実証コードの公開とは言えないものです。ただし、手口は「ヘッダー1つ」と単純で、自動化しやすいと評価されています。修正版との差分から手口を割り出されれば、悪用が一気に広がる恐れがあります。
影響する会社・しない会社
- 影響する: Nutanix(AOS、Prism Central)で仮想基盤を運用している会社です。とくに、9440番ポートが管理用以外のネットワークやインターネットから届く構成は、急ぎの対応が要ります。
- 影響する: 修正版のない古い系列を使っている会社です。系列の更新を計画する必要があります。
- 影響しにくい: 修正版(7.6.0.8、7.5.2、7.3.1.18)を適用済みで、9440番ポートを管理用のネットワークに閉じている会社。ただし、すでに社内に入り込んだ攻撃者からは届きうる点に注意が要ります。
情シスが今日やること
- 版を確かめる。AOSとPrism Centralの版を確認し、影響する版かを判断します。
- 9440番ポートの届く範囲を絞る。管理者以外のネットワークやインターネットから届かないかを確かめ、届くなら、すぐに管理用のネットワークや踏み台からだけに限ります。
- 更新する。修正版へ更新します。Prism CentralとAOSの組み合わせは、互換表で確かめてから進めます。
- 監査ログを確かめる。不審な管理操作がないかを確認し、ログを保全します。疑いがあれば、Nutanixのサポートに連絡します。
