OpenSSHに型の取り違えの脆弱性、10.6未満の版と設定を確認

JVN iPediaは2026年10月13日、OpenSSH 10.6未満に影響する脆弱性「CVE-2026-106587」を掲載しました。機能を無効にする設定値「none」を、sshdが時折ファイル名として扱う問題です。対象版を使う会社は、利用中の版と設定を確認し、公開されているリリース情報やパッチ情報に沿って対策を進める必要があります。

無効化の指定をファイル名として扱う問題

今回の問題は、型の取り違えに分類されています。分類番号はCWE-843です。本来は機能の無効化を意味する「none」が、別の用途であるファイル名として扱われることがあります。

JVNによると、この脆弱性により、ソフトウェアが扱う情報の一部が改変される可能性があります。一方、JVNの評価では、情報の秘密が守られるかを示す「機密性」と、システムを使い続けられるかを示す「可用性」への影響はありません。

どの設定項目を確認すべきか、どの条件で問題が起きるかの詳しい説明は、今回の資料にはありません。「none」があるという理由だけで設定を書き換えるのではなく、参考情報を確認してから対応を決めることが大切です。

評価は「注意」、攻撃元はローカル

脆弱性の深刻度を数値で示すCVSS v3の基本値は、NVD値で3.3です。深刻度は「注意」とされています。

CVSS評価での攻撃元区分はローカルです。攻撃に必要な特権レベルは低く、攻撃条件の複雑さも低いと評価されています。利用者の関与は不要です。インターネット越しの攻撃という評価ではない点と、利用者の操作を必要としない点を分けて把握しておきましょう。

JVNは、リリース情報またはパッチ情報が公開されていると案内しています。ただし、今回の資料には具体的な適用手順や対応期限はありません。点数だけで対応を終えるのではなく、対象版の有無と、実際に適用できる対策を確認することが実務上の出発点になります。

影響する会社・しない会社

• 影響する: OpenSSH 10.6未満を利用する会社です。まず、この版の条件に当てはまる環境を洗い出す必要があります。
• 影響する: 対象版の環境で、sshdの設定に「none」を使っている会社は、その設定内容を対策情報と照合する確認対象です。ただし、「none」がない場合に影響しないかどうかは、資料には書かれていません。
• 影響しない: OpenSSH 10.6以上の環境は、今回示された「10.6未満」という対象範囲には含まれません。ただし、ほかの脆弱性までないという意味ではありません。

OSや会社の規模による対象の区別は、発表には書かれていません。自社の環境が対象外だと判断する際も、まずOpenSSHの版を根拠にしてください。

情シスが今日やること

1. 今日、利用版と管理担当を一覧にします。 社内の資産台帳や運用記録でOpenSSHの利用箇所を探し、記録が古い場合は管理担当者に現在の版を確認します。10.6未満の環境と、版が未確認の環境を分けて記録してください。
2. 対象環境のsshd設定を確認します。 管理担当者に「none」を指定している設定項目と、その用途を確認してもらいます。資料に具体的な管理画面や設定項目の指定はないため、該当環境の設定ファイルや運用記録で確認し、変更前の状態を残します。
3. 更新前にJVNの参考情報を確認します。 CVE-2026-106587の情報からリリース情報・パッチ情報をたどり、自社環境に適用する方法を確認します。「none」を一律に削除することを対策とはせず、案内された修正内容に沿って対応を決めます。
4. 今日中に運用担当へ確認結果を共有します。 対象版、未確認の環境、対策情報の確認状況を伝え、対応担当と実施予定日を決めます。公式の対応期限は資料にないため、ここでの「今日中」は社内で確認を進めるための目安です。適用後は版と設定を再確認し、台帳に結果を残してください。