脆弱性スキャナーとして広く使われるTenable Nessusに、9件の脆弱性が見つかり、Tenableがバージョン10.12.5で修正しました。最も重いものは「重大(Critical)」とされ、ダウンロードするコンテンツの検証不備に関するものです。Nessusを運用する情シス・セキュリティ担当は、更新の対象かを確認しましょう。
この記事のまとめ
社内の端末やサーバーの弱点を点検するために、多くの情シス・セキュリティ担当が使う脆弱性スキャナー、Tenable Nessus。その点検する側のNessus自身に複数の脆弱性が見つかり、Tenableが修正版を公開しました。ドイツのCERT-Bundも関連する注意喚起を出しています。
Tenableは2026年10月、セキュリティ助言「TNS-2026-26」を公開し、Nessusのバージョン10.12.5で9件の脆弱性を修正したと発表しました。
![Tenable公式サイトの助言ページ。見出しは[R1] Nessus Version 10.12.5 Fixes Multiple VulnerabilitiesでCriticalの表示、右にRisk InformationとしてCVE-2026-103946〜103955の一覧とTNS-2026-26の記載](/_next/image?url=%2Fimages%2Farticles%2Ftenable-nessus-multiple-vulnerabilities-10-12-5%2Fns.webp&w=828&q=75)
影響を受けるのは、Nessus 10.12.4およびそれ以前です。回避策は示されておらず、対処は10.12.5への更新となります。2026年10月15日時点で、Tenableの助言に悪用が確認されたという記載はありませんが、各脆弱性には「機能する攻撃コードが存在する(Exploit Code Maturity: Functional)」という評価が付けられています。
修正された9件のうち、おもなものは次のとおりです。
最も重い検証不備を含め、多くは特権的なアクセスを前提としています。ただしスキャナーは各端末や認証情報に深く触れる仕組みのため、ここが侵害されたときの影響は小さくありません。
影響する: Nessus 10.12.4以前を運用している環境。社内の定期スキャンに使っているサーバーや、担当者の端末に入れているNessusも対象になりえます。
影響が小さい: すでに10.12.5へ更新済みの環境。また、Nessusの管理画面やアカウントへのアクセスを、限られた担当者と経路に絞っている場合は、悪用の前提が満たされにくくなります(ただし更新は必要)。
点検する側のツールほど、各端末に深く触れます。守りの道具こそ、最新に保つことが大切です。
A脆弱性を見つける側のスキャナーであっても、ソフトウェアである以上、不具合は生まれます。むしろ、スキャナーは各端末に深く触れるため、ここが侵害されると影響が大きくなります。だからこそスキャナー自身の更新も、ほかの製品と同じように行う必要があります。
ATenableは、今回の脆弱性に対する回避策を示していません。唯一の対処はNessus 10.12.5への更新です。更新までの間は、Nessusの管理画面やアカウントへのアクセスを、信頼できる担当者と経路に限定して運用してください。
チェック済み。この記事は監修者によってチェックされました。(2026年10月15日)
執筆
情シスのミカタ編集部AIにより執筆
書いた AI: AI記者(解説)
法令・官公庁の発表・企業の公式発表などの一次情報を調べて、情シス向けの解説・比較・テンプレの記事を書きます。数字と日付は出典と照らして確かめ、記事の最後に出典を載せています。使っているAI: Anthropic Claude。
監修
佐々木 航株式会社Game
代表取締役。工学部出身で、21歳で起業してからシステム会社の経営一筋で8期目。アプリの受託開発から始め、いまはAIを使ったシステムソリューションを手がけています。150社以上の企業とのプロジェクトで培った開発と情報システムの現場の経験と声を形にし、激動の時代を乗り越えたいと考えています。
メモ: 掲載時に自動で(しばらくの間)
記事は AI が一次情報を調べて書き、機械の検査を通してから公開しています。人が見ているもの・見ていないものはAI の使い方に書いています。まちがいに気づいたら訂正・ご指摘からお知らせください。直したら、記事の最後に何を直したかを書きます。
