検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

AhsayCBS の認証回避とコマンド実行の 2 件が組み合わせて使える、KEV に追加（CVE-2026-105133・105134）

World Security 編集部
目次（6）

CVE-2026-105133

CVE-2026-105134

バックアップ用のサーバー製品 AhsayCBS に、ログインをすり抜けられる欠陥と、OS の命令を実行される欠陥が見つかり、2 件とも悪用が確認されました。2 件は組み合わせて使えると KEV に書かれています。

KEV とは、米国の CISA が「実際に悪用された」と確認した脆弱性の一覧です。

何が問題か

CVE-2026-105133: ログインをすり抜けられる欠陥（認証回避）

API の checkSysPwd 機能の random という値を細工することで、リモートの攻撃者がログイン（認証）を回避できるおそれがあります。

分類（CWE）: CWE-287

CVE-2026-105134: OS の命令を実行される欠陥（コマンドインジェクション）

データをバックアップサーバーに複製する機能（Replication Receiver）の /rps/api/json/UpdateReceivers.do で、random の値を細工すると、リモートの攻撃者が OS の命令を実行できるおそれがあります。CVSS は 10.0 と最大です。

分類（CWE）: CWE-77, CWE-78

数値で見る

CVEKEV 追加日対応期限CVSSEPSS
CVE-2026-1051332026-10-142026-10-176.9（中・v4.0）79.5%（百分位 99.6）
CVE-2026-1051342026-10-142026-10-1710.0（緊急・v4.0）81.8%（百分位 99.6）

ランサムウェア攻撃での悪用: KEV では「不明」です（「なかった」という意味ではありません）。

CVSS は深刻度を 0〜10 の点数にしたものです（NVD の掲載値）。EPSS は「今後 30 日以内に悪用が観測される確率」の推定で、2026-10-27 時点の値です（FIRST 調べ。日々変わります）。

KEV に載った脆弱性は「すでに悪用された」ものです。表の「対応期限」は米国の連邦機関に課される期限で、民間企業に義務はありませんが、優先度を決める目安になります。

誰が気をつけるか

AhsayCBS を使っている組織や、バックアップサービスを提供している事業者。

今やること

  1. 自社の資産一覧で、対象の製品とバージョンを使っているか確認します（委託先や別拠点の運用分も含めます）。
  2. 対象なら、出典のベンダー情報に従って、修正版への更新または緩和策を行います。KEV が示す対応は「ベンダーの手順に従った緩和策の適用」です。
  3. AhsayCBS の管理画面や API を、インターネットから直接開けない状態にします。
  4. バックアップは攻撃の「最後の砦」になるため、更新したあとで、バックアップデータとジョブの設定に不審な変更がないかを確認します。
  5. CISA はこの欠陥（CVE-2026-105134）について、フォレンジックトリアージ（被害の痕跡を調べる初動調査）を求めています。更新の前に、ログと設定のコピーを残し、侵入された形跡がないかを確認します。
  6. 対応期限（2026-10-17）はすでに過ぎています。未対応なら、今日のうちに着手してください。

用語メモ

  • KEV: 米国の CISA（サイバーセキュリティ・社会基盤安全保障庁）が「実際に悪用された」と確認した脆弱性の一覧。
  • 認証回避: ログインや本人確認をすり抜けて、機能を使えてしまう欠陥。
  • コマンドインジェクション: 入力された値を通じて、OS に出す命令を攻撃者に差し込まれ、実行されてしまう欠陥。
  • 連鎖: 複数の欠陥を組み合わせて使えること。1 件ずつは軽くても、組むと被害が大きくなる。
  • フォレンジックトリアージ: 被害の痕跡があるかを素早く調べ、証拠を集める初動調査。

出典

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事