検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

Absolute Secure Access サーバーに 2 件の脆弱性 CVE-2026-116769・CVE-2026-97718（CVSS v4.0 9.3・9.4）: 認証バイパスと CSRF、14.61 より前が対象

World Security 編集部
目次（7）

CVE-2026-116769

CVE-2026-97718

NVD は 2026-11-02 に、Absolute のリモートアクセス製品「Secure Access」のサーバーに関する脆弱性 2 件、CVE-2026-116769 と CVE-2026-97718 を登録しました。1 件はクライアントのセキュリティ設定を変更できる認証バイパス、もう 1 件は CSRF（利用者の意図しない操作をさせる攻撃）で管理者に攻撃者支配のアカウントを作らせられる問題です。どちらも認証なし（PR:N）で届くと評価され、CVSS v4.0 は 9.3 と 9.4 です。

2 件の概要

項目CVE-2026-116769CVE-2026-97718
対象Secure Access サーバー 13.0 以降 14.61 より前Secure Access サーバー 14.60
問題認証バイパス。攻撃者がサーバー経由でクライアントのセキュリティ設定を変更できるCSRF。セキュリティ制御が回避され、攻撃者が管理者に、攻撃者の支配下にあるアカウントを作成させられる
CVSS v4.09.3（CRITICAL）9.4（CRITICAL）
攻撃の条件ネットワーク越し、認証不要、利用者の操作不要ネットワーク越し、認証不要。ただし管理者の操作（UI:P、受動）が必要
CWE未割り当て未割り当て

影響範囲

  • CVE-2026-116769: NVD の記載は「クライアントのセキュリティ設定の変更」までです。CVSS では完全性への影響が高と評価されています。設定の変更が実際にどこまで及ぶか（接続先の制限や認証設定の無効化など）は、NVD の記載だけでは分かりません。
  • CVE-2026-97718: 攻撃者が支配するアカウントが管理者の操作を通じて作られます。CVSS では機密性・完全性・可用性のすべてが高と評価されています。管理者が細工されたページなどを開く必要がある点が、1 件目との違いです。
  • 2 件とも、攻撃の具体的な手順は本記事では扱いません。

修正

NVD の記載から読み取れるのは、CVE-2026-116769 が「14.61 より前」、CVE-2026-97718 が「14.60」の版を対象にしている、という点です。14.61 以降で直ると読めますが、修正版の番号や修正内容は、ベンダー勧告の本文を確認できていないため断定しません。

数値と出典（2026-11-03 時点）

項目内容
CVSS v4.0CVE-2026-116769: 9.3（AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:H/SI:H/SA:N）、CVE-2026-97718: 9.4（AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）。いずれも Absolute 側の窓口が付与（種別 Secondary）。v3.1 の値は登録なし
NVD の状態2 件とも Received（NVD 自身の分析は未実施）
NVD 公開日2026-11-02
EPSS2 件とも未算定（FIRST の API に該当データなし）
KEV2 件とも掲載なし（CISA のカタログを確認）
出典NVD、FIRST（EPSS）、CISA（KEV）、ベンダー勧告（URL のみ。本文は未確認）

severity を critical とした提案の理由

2 件とも CVSS v4.0 が 9 以上で、攻撃に必要な権限は不要（PR:N）です。過去の判断の基準（認証不要かつ CVSS 9 以上は critical）に従い、critical を提案します。ただし CVE-2026-97718 は管理者の操作が前提のため、実際の悪用のしやすさは 1 件目より下がります。

対応として考えられること

  1. Secure Access サーバーを運用している場合は、版を確認し、14.61 以降へ更新できるか、ベンダー勧告で確認します。
  2. 管理画面へのアクセス元を信頼できるネットワークに絞り、管理者が管理画面にログインしたまま他のサイトを閲覧しないようにします。
  3. 更新までの間、クライアントのセキュリティ設定に意図しない変更がないか、管理者アカウントの一覧に見覚えのないアカウントがないかを確認します。

未確認の点

  • 実際の攻撃での悪用は確認していません。
  • ベンダー勧告の本文（修正版の番号、回避策、詳しい攻撃条件）は確認できていません。
  • 利用組織の数や、公開サーバーの数は確認できていません。
  • NVD の分析は未実施です。CWE も未割り当てです。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事