Linux でファイル共有 やWindows のドメインを動かすソフト「Samba」の脆弱性 6件について、ドイツの当局BSIのCERT-Bundが10月16日に告知を更新しました。脆弱性そのものは5月26日に公開されたもので、うち2件は最高点のCVSS 10.0です。各国の当局が今も更新を追いかけている件なので、自社のSambaに当たっているかを確かめます。
CERT-Bundの10月16日の更新で何が変わったか
CERT-Bundの告知「WID-SEC-2026-1686」は、5月27日の初版から更新を重ね、10月16日付で第39版になりました。深刻度は「kritisch(危険)」です。今回の更新は、Red Hatが10月15日に出したRHSA-2026:77320を加えたものです。
RHSA-2026:77320は、OpenShift Container Platform 4.13.72のコンテナ イメージの更新です。ノードのOS(RHCOS)に入っているSambaについて、CVE-2026-2340とCVE-2026-3012を直しています。新しい脆弱性が見つかったわけではありません。各社の修正が出るたびに、告知に足されています。
CERT-Bundは7月の更新で、CVE-2026-4480の実証コードが公開されたことも記録しています。一方、6件とも米国CISAの「悪用が確認された脆弱性の一覧(KEV)」には載っていません(10月16日版)。SambaでKEVに載っているのは、2017年のCVE-2017-7494だけです。
samba.orgのセキュリティ更新の一覧(7月28日と5月26日の6件ずつ) 出典: Samba Team (引用) 6件の中身と当たる使い方
6件は、どれも特定の機能や設定を使うときに当たります。CVSSはsamba.orgの告知の値です。
CVE
内容
当たる使い方
CVSS
CVE-2026-4408
パスワード確認のスクリプトに利用者名がそのまま渡り、認証なしで命令を実行される
ファイルサーバーと旧来の(ADでない)ドメイン。check password scriptに%uがあり、samba-dcerpcdを常駐させる設定のとき
10.0
CVE-2026-4480
印刷の命令にジョブ名がそのまま渡り、認証なしで命令を実行される
印刷サーバー。print commandに%Jがあるとき。printing = cupsとiprintは対象外
10.0
CVE-2026-3012
証明書の自動登録で、CA証明書をHTTPで確かめずに取り込む
ドメインのメンバー。グループポリシーを適用し、自動登録を使うとき(4.16以降)
8.0
CVE-2026-3238
AD DCのWINSが、認証なしの通信で停止する
AD DCでwins support = yesのとき
7.5
CVE-2026-1933
読み取り専用の共有で、シンボリックリンクなどの情報を書き換えられる
4.21以降。ファイルシステムの書き込み権限を持つ利用者がいるとき
7.1
CVE-2026-2340
書き換えを禁じるWORMの機能が、名前の変更による上書きを防げない
4.20以降でvfs_wormを使う共有
6.5
Red Hatは、CVSS 10.0の2件を9.0、重要度を「重要」としています。どちらも標準ではない設定のときだけ当たるという評価です。
CVE-2026-4408の告知。条件、直った版、CVSS 10.0、回避策が載る 出典: Samba Team (引用) AD DC(Active Directoryのドメインコントローラー)とファイルサーバーでは、当たる件が違います。CVE-2026-4408はAD DCに当たりません。逆にCVE-2026-3238は、AD DCのWINSだけの問題です。Red Hat Enterprise Linux(RHEL)はAD DCの機能を提供していないため、CVE-2026-3238の対象外です。
7月28日には、別の6件が直っています(4.24.5・4.23.10・4.22.11)。認証済みの利用者がAD DCのLDAPを通じてドメインを乗っ取る恐れのあるCVE-2026-58221(CVSS 8.8)などで、AD DCに重い内容です。今から更新するなら、この版以降を当てます。
直った版と各ディストリビューションの状況
Samba本体の直った版は、4.24.3・4.23.8・4.22.10(5月26日)です。主なディストリビューションの修正版は次のとおりです。
配布元
修正版(samba)
Ubuntu(USN-8306-1)
26.04は2:4.23.6+dfsg-1ubuntu2.1、24.04は2:4.19.5+dfsg-4ubuntu9.6、22.04は2:4.15.13+dfsg-0ubuntu1.12
Debian(DSA-6297-1・DLA-4692-1)
13は2:4.22.8+dfsg-0+deb13u2、12は2:4.17.12+dfsg-0+deb12u4、11(LTS)は2:4.13.13+dfsg-1~deb11u8
RHEL
10は4.23.5-109.el10_2、9は4.23.5-10.el9_8、8は4.19.4-16.el8_10。7のELSはCVE-2026-4408と4480だけ直す
SUSE
SLES 15 SP7は4.21.10ベースの修正版。SP4〜SP6はLTSSで、16.0と16.1にも修正版がある
更新までの回避策
samba.orgは、更新できるまでの回避策を案内しています。
CVE-2026-4408: rpc start on demand helpersを標準の「yes」のままにします。check password scriptから%uを外し、利用者名は環境変数SAMBA_CPS_ACCOUNT_NAMEから受け取ります。
CVE-2026-4480: print commandから%Jを外します。単一引用符で直接囲むと危険は下がりますが、なくなりはしません。
CVE-2026-3238: WINSが要らなければ、wins support = yesを消します。
CVE-2026-1933: 読み取り専用の共有を使う利用者に、ファイルシステムの書き込み権限を与えません。
影響する会社・しない会社
影響する: LinuxのSambaでファイルサーバー、印刷サーバー、ドメインを動かし、5月26日以降の修正版をまだ当てていない会社です。
影響する: smb.confのcheck password scriptに%u、print commandに%Jを書いている会社です。CVSS 10.0の2件に当たります。
影響する: SambaのAD DCでWINSを有効にしている会社と、グループポリシーで証明書を自動登録しているドメインメンバーです。
影響する: Sambaを組み込んだNASやバックアップ装置、OpenShiftを使う会社です。メーカーの更新を確かめます。
影響しない: Sambaを使わず、Windows Serverだけでファイル共有をしている会社です。Windows Server 2016を使っている場合は、Windows Server 2016は1月12日終了 ファイルサーバー移行手順 で期限を確かめてください。
情シスが今日やること
Sambaが動く機器を洗い出す。 Linuxのファイルサーバー、印刷サーバー、AD DC、NASを、サーバーの台帳で拾います。版を確かめる。 パッケージの版を、上の表の修正版と比べます。7月の版まで当たっているかも見ます。設定を見る。 testparm -sで、check password script、print command、wins support、apply group policiesを確かめます。更新して再起動する。 ディストリビューションの更新を当て、Sambaのサービスを再起動します。すぐ止められないサーバーは、先に回避策を入れて日程を決めます。組み込みの機器はメーカーに確かめる。 NASなどは、メーカーの告知で対象と更新の予定を確かめます。 
