フランスのCERT-FRは2026年10月14日、Zabbixの脆弱性情報を公開しました。攻撃者によってデータの機密性が侵害される恐れがあり、6.0.xなど5系列の指定された版より前が対象です。利用企業は稼働中の版を照合し、開発元のセキュリティ情報で修正の入手方法を確認してください。
対象は5系列、細かな版番号まで照合を
今回の勧告の識別番号は「CERTFR-2026-AVI-1309」です。情報源として、2026年10月14日付のZabbixセキュリティ情報「ZBX-28169」が挙げられています。
CERT-FRが示した対象は、次のとおりです。いずれも、その系列の中で記載された版より前が対象になります。
- Zabbix 6.0.x：6.0.49rc1より前
- Zabbix 7.0.x：7.0.32rc1より前
- Zabbix 7.4.x：7.4.16rc1より前
- Zabbix 8.0.x：8.0.1rc1より前
- Zabbix 8.2.x：8.2.0alpha1より前
「6.0系を使っている」といった把握だけでは、対象かどうかを判断できません。確認時は、末尾の「rc1」「alpha1」も省かず、稼働版と比較する必要があります。
対象の境界と、実際の更新先を分けて確認
CERT-FRは、修正の入手について開発元のセキュリティ情報を参照するよう案内しています。今回示された版番号は、まず影響対象を切り分けるための情報として扱ってください。
対象一覧には「rc」「alpha」を含む表記があります。これをそのまま本番環境の更新先と決めず、「ZBX-28169」で修正の入手方法を確認するのが今回の確認作業の要点です。提示された情報だけでは、本番環境に適用する版や更新手順までは判断できません。
修正版の日本での提供は発表には書かれていません。また、地域によって対象を分ける条件も示されていません。国内の利用企業も、まずは製品の版を基準に切り分けてください。
影響する会社・しない会社
- 影響する: Zabbix 6.0.x、7.0.x、7.4.xを使い、それぞれ上記の境界より前の版を稼働させている会社です。
- 影響する: Zabbix 8.0.x、8.2.xを使い、それぞれ上記の境界より前の版を稼働させている会社です。
- 影響しない: Zabbixを利用していない会社は、今回の製品に対する更新作業の対象ではありません。
- 影響しない: 各系列で上記の境界より前に当たらない版は、今回列挙された対象範囲には含まれません。ただし、それだけで別の脆弱性もないとは判断しないでください。
会社の規模や契約プランによる対象の違いは、発表には書かれていません。社内で版が分からない環境は、対象外にせず「確認中」として残すことを勧めます。
情シスが今日やること
以下は、今回の情報を受けた社内確認の進め方です。
- 今日の確認として、運用台帳や構成管理の記録からZabbixの利用環境と担当者を洗い出します。記録がない環境は、運用担当者や委託先に稼働版の確認を依頼してください。管理画面の具体的な確認場所は、発表には書かれていません。
- 集めた版番号を上記5系列の条件と照合し、「対象」「今回の列挙範囲外」「版が不明」に分けます。系列名だけで記録されているものは、細かな版番号の確認を担当者に依頼します。
- 更新先を決める前に、運用担当者が開発元の「ZBX-28169」を確認します。修正の入手方法と、自社環境で適用する版を整理してください。境界の版番号だけを根拠に更新作業を開始しないことが重要です。
- 対象環境の一覧、未確認の環境、修正情報の確認結果を、運用責任者と委託先に共有します。更新日程はその結果を踏まえて調整してください。提示された情報には適用期限がないため、社内で確認担当と次の報告期限を決めておきます。
