Taniumに脆弱性25件 端末でコード実行の2件はコンソールの権限から

端末の状態を一斉に調べ、パッチを配り、怪しい動きを追う。こうした仕事をTaniumに任せている会社は、今回、コンソールのモジュールと、全端末に入っている部品の両方を更新することになります。Taniumは10月27日付けで、脆弱性の勧告25件（TAN-2026-056〜080）を公表しました。

25件のうちHighは11件、悪用の報告はない

深刻度の内訳は、Highが11件、Mediumが10件、Lowが4件です。Criticalはありません。勧告に悪用の有無の記載はなく、米国CISAの悪用が確認された脆弱性の一覧（KEV）にも、10月29日の時点でTaniumの製品は載っていません。回避策は、25件とも「None」です。

Highの11件は、次のとおりです。CVSSは3.1の値です。

コンソールの権限が、端末でのコード実行につながる

いちばん重い2件は、どちらもコンソールにログインできる人が起点です。Threat Response（TAN-2026-064）では、Read Sensorの権限がある利用者が、許可されていないコードを端末で動かせます。対象は、Mac Downloaded Filesのセンサーが動く端末です。Certificate Manager（TAN-2026-075）では、Ask Dynamic Questionsの権限がある利用者が、同じようにコードを動かせます。こちらの対象は、SSL Certificate Subjectのセンサーが動く端末です。

Taniumは、1つのコンソールから多くの端末に問い合わせを送る仕組みです。センサーを読む権限や質問を送る権限を、ヘルプデスクや運用の担当に広く渡している会社ほど、アカウントが1つ乗っ取られたときの影響が大きくなります。更新までの間は、この2つの権限のある人とロールを絞っておくと、入口を減らせます。

残りのHighは、端末をすでに使える攻撃者が権限を上げるもの（End-User NotificationsとIndex）と、EnforceやProvisionを止めるもの、書き出したCSVに数式を入れるものです。CSVの件は、更新前に書き出したファイルを表計算のソフトで開くときに、数式が動かないかを気にかけておきます。

端末の部品の9件は、マニフェストを配るまで

25件のうち9件は、各端末で動く部品（Client Extension）の脆弱性です。対象はThreat Response、Index、End-User Notifications、Stream、Performanceの部品です。直すには、Endpoint Configuration Toolset Solutionを、2025H1ならv1.51.60、2025H2ならv1.59.50、2026H1ならv1.71.25以降に上げます。

それだけでは終わりません。勧告は、ECMを使っている会社に、Endpoint ConfigurationのChange Managementから、修正したマニフェストを全端末に配るよう求めています。オンプレミスは2.13.327・2.21.324・2.35.252のいずれか以降、Tanium Cloudは2.40系・2.42系・2.44系・2.46系の決められた版以降です。

Tanium Cloudで求められる版は、勧告ごとに少しずつ違います。9件の勧告を突き合わせると、すべてを満たすのは2.40.225・2.42.176・2.44.127・2.46.101以降です。

Reputationは、更新したあとに資格情報を変える

深刻度はMediumですが、手間が増えるのがReputationの件（TAN-2026-067）です。Reputationのサービスのログに、評判の情報を引く外部のサービス（勧告の言葉ではreputation providers）の資格情報が書かれ、ログを読める人に見えるおそれがあります。勧告は、オンプレミスでもTanium Cloudでも、更新のあとに、これらの資格情報を作り直すよう求めています。

Tanium Serverの件（TAN-2026-078）は、Lowですが記録の話です。グローバルの設定を書き換える権限のある人が設定を変えても、変更前と変更後の値が監査ログに残りません。管理者の操作が記録に残らない脆弱性では、10月28日に、VMware ESXのものがKEVに載ったばかりです（Linuxの「Fragnesia」とESXの脆弱性がKEVに 米機関の期限は3日と14日）。更新の前の期間に設定を変えた記録は、変更の申請の記録と照らしておくと安心です。

モジュールごとの修正版

Taniumのリリースは、2025H1・2025H2・2026H1の3つの系列に分かれています。今回の修正は、それぞれのUpdate 26・16・9に入りました。

カナダのサイバーセキュリティセンター（CCCS）も、10月28日に注意（AV26-1097）を出しました。Certificate Manager、Endpoint Configuration Toolset Solution、Enforce、Provision、Threat Responseなどの更新を呼びかけています。

影響する会社・しない会社

Taniumを自社のサーバーで動かしている会社は、契約しているモジュールのすべてが対象です。EnforceやComplyなどを契約していなければ、そのモジュールの件は関係ありません。端末の部品の9件は、Taniumを入れているすべての端末が対象になりえます。

Tanium Cloudを使っている会社も、何もしなくてよいわけではありません。勧告は、クラウドの利用者がする作業として、端末へのマニフェストの配布と、Reputationの資格情報の作り直しを挙げています。クラウドの側のモジュールをいつ、だれが更新するのかは勧告に書かれていないため、Taniumか、契約している販売代理店に確かめます。Taniumを使っていない会社には、影響はありません。

更新の前と後に確かめる手順

運用を販売代理店やSIerに任せている場合は、次のどれを、だれがするかを先に決めておきます。

1. コンソールで、使っているリリースの系列と、各モジュールの版を書き出します。上の表の修正版より古いモジュールが、更新の対象です。
2. 更新を終えるまでの間、Read SensorとAsk Dynamic Questionsの権限がある利用者とロールを一覧にし、使っていない人から外します。コンソールのログインに多要素認証がかかっているかも、合わせて見ます。
3. Endpoint Configuration Toolset Solutionを上げ、ECMを使っているなら、Change Managementからマニフェストを全端末に配ります。配り終えた端末の数を、管理している端末の数と突き合わせます。
4. Reputationを上げたら、外部のサービスの資格情報（APIキーなど）を作り直し、古いものを無効にします。
5. 10月27日より前に変えたグローバルの設定を、変更の申請の記録と照らします。