--- title: "Absolute Secure Access サーバーに 2 件の脆弱性 CVE-2026-116769・CVE-2026-97718（CVSS v4.0 9.3・9.4）: 認証バイパスと CSRF、14.61 より前が対象" url: https://n-t-p.io/worldsecurity/articles/absolute-secure-access-two-flaws-cve-2026-116769-97718 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 緊急 cve: CVE-2026-116769, CVE-2026-97718 --- # Absolute Secure Access サーバーに 2 件の脆弱性 CVE-2026-116769・CVE-2026-97718（CVSS v4.0 9.3・9.4）: 認証バイパスと CSRF、14.61 より前が対象 > **TL;DR:** Absolute Secure Access サーバーの 2 件（CVE-2026-116769 は 13.0 以降 14.61 より前の認証バイパス、CVE-2026-97718 は 14.60 の CSRF）。どちらも認証不要で CVSS v4.0 は 9.3・9.4。KEV なし、EPSS は未算定。修正版・回避策の詳細は未確認。 **要点** - Secure Access サーバーに 2 件。認証バイパスでクライアントのセキュリティ設定を変更できる問題（CVE-2026-116769、13.0 以降 14.61 より前、CVSS v4.0 9.3）と、CSRF で管理者に攻撃者支配のアカウントを作らせられる問題（CVE-2026-97718、14.60、同 9.4） - 2 件とも認証不要（PR:N）。後者は管理者の操作（受動）が必要 - NVD は Received、KEV 掲載なし、EPSS は未算定 - 悪用の有無、ベンダー勧告の本文（修正版・回避策）は未確認 NVD は 2026-11-02 に、Absolute のリモートアクセス製品「Secure Access」のサーバーに関する脆弱性 2 件、CVE-2026-116769 と CVE-2026-97718 を登録しました。1 件はクライアントのセキュリティ設定を変更できる認証バイパス、もう 1 件は CSRF（利用者の意図しない操作をさせる攻撃）で管理者に攻撃者支配のアカウントを作らせられる問題です。どちらも認証なし（PR:N）で届くと評価され、CVSS v4.0 は 9.3 と 9.4 です。 ## 2 件の概要 | 項目 | CVE-2026-116769 | CVE-2026-97718 | |---|---|---| | 対象 | Secure Access サーバー 13.0 以降 14.61 より前 | Secure Access サーバー 14.60 | | 問題 | 認証バイパス。攻撃者がサーバー経由でクライアントのセキュリティ設定を変更できる | CSRF。セキュリティ制御が回避され、攻撃者が管理者に、攻撃者の支配下にあるアカウントを作成させられる | | CVSS v4.0 | 9.3（CRITICAL） | 9.4（CRITICAL） | | 攻撃の条件 | ネットワーク越し、認証不要、利用者の操作不要 | ネットワーク越し、認証不要。ただし管理者の操作（UI:P、受動）が必要 | | CWE | 未割り当て | 未割り当て | ## 影響範囲 - **CVE-2026-116769**: NVD の記載は「クライアントのセキュリティ設定の変更」までです。CVSS では完全性への影響が高と評価されています。設定の変更が実際にどこまで及ぶか（接続先の制限や認証設定の無効化など）は、NVD の記載だけでは分かりません。 - **CVE-2026-97718**: 攻撃者が支配するアカウントが管理者の操作を通じて作られます。CVSS では機密性・完全性・可用性のすべてが高と評価されています。管理者が細工されたページなどを開く必要がある点が、1 件目との違いです。 - 2 件とも、攻撃の具体的な手順は本記事では扱いません。 ## 修正 NVD の記載から読み取れるのは、CVE-2026-116769 が「14.61 より前」、CVE-2026-97718 が「14.60」の版を対象にしている、という点です。14.61 以降で直ると読めますが、修正版の番号や修正内容は、ベンダー勧告の本文を確認できていないため断定しません。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | CVSS v4.0 | CVE-2026-116769: 9.3（AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:N/SC:H/SI:H/SA:N）、CVE-2026-97718: 9.4（AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）。いずれも Absolute 側の窓口が付与（種別 Secondary）。v3.1 の値は登録なし | | NVD の状態 | 2 件とも Received（NVD 自身の分析は未実施） | | NVD 公開日 | 2026-11-02 | | EPSS | 2 件とも未算定（FIRST の API に該当データなし） | | KEV | 2 件とも掲載なし（CISA のカタログを確認） | | 出典 | NVD、FIRST（EPSS）、CISA（KEV）、ベンダー勧告（URL のみ。本文は未確認） | ## severity を critical とした提案の理由 2 件とも CVSS v4.0 が 9 以上で、攻撃に必要な権限は不要（PR:N）です。過去の判断の基準（認証不要かつ CVSS 9 以上は critical）に従い、critical を提案します。ただし CVE-2026-97718 は管理者の操作が前提のため、実際の悪用のしやすさは 1 件目より下がります。 ## 対応として考えられること 1. Secure Access サーバーを運用している場合は、版を確認し、14.61 以降へ更新できるか、ベンダー勧告で確認します。 2. 管理画面へのアクセス元を信頼できるネットワークに絞り、管理者が管理画面にログインしたまま他のサイトを閲覧しないようにします。 3. 更新までの間、クライアントのセキュリティ設定に意図しない変更がないか、管理者アカウントの一覧に見覚えのないアカウントがないかを確認します。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。 - ベンダー勧告の本文（修正版の番号、回避策、詳しい攻撃条件）は確認できていません。 - 利用組織の数や、公開サーバーの数は確認できていません。 - NVD の分析は未実施です。CWE も未割り当てです。 ## 出典 - [NVD CVE-2026-116769](https://nvd.nist.gov/vuln/detail/CVE-2026-116769) — NIST NVD - [NVD CVE-2026-97718](https://nvd.nist.gov/vuln/detail/CVE-2026-97718) — NIST NVD - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-116769,CVE-2026-97718) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/absolute-secure-access-two-flaws-cve-2026-116769-97718