検索NeSC を見る
脆弱性・CVE速報深刻度: 緊急

Jumis（TJ7.0.141.36 より前）、sysadmin 権限の SQL Server ログインのパスワードを誰でも計算できる恐れ。認証なしで DB 全体とサーバー上の OS 操作に至り得る（CVE-2026-59105）

World Security 編集部
AI 支援あり
目次（5）

CVE-2026-59105

Jumis（旧 Tildes Jumis。会計ソフト）が作る SQL Server のログイン ##Tilde_JumisAdmin## は、パスワードが「SQL Server のサーバー名」だけから決まります。計算の方法はクライアント側に埋め込まれていて、どの環境でも同じです。そのため、Jumis の SQL Server にネットワークから届く人なら誰でも、パスワードを自分で計算してログインできる恐れがあります（CVE-2026-59105）。このログインは sysadmin 権限を持ちます。認証が要らず、CVSS 9.8（v3.1）・9.3（v4.0）のため、severity 案は critical です。修正版は、影響範囲の記載が「TJ7.0.141.36 より前」なので同版以降と読めますが、提供元の勧告は未確認です。

内容

NVD の記述（2026-11-06 登録）は、次のとおりです。

  • パスワードの元になるのは、サーバー名（@@servername）ただ 1 つです。計算方法はクライアントに固定で入っていて、全環境で共通です。
  • サーバー名は秘密ではありません。SQL Server Browser サービス（UDP 1434）・TDS のプレログイン応答・DNS や NetBIOS から分かる、と NVD は書いています。
  • ##Tilde_JumisAdmin## は sysadmin ロールのメンバーです。ログインできると、その SQL Server 全体の管理権限と、同じサーバーにあるすべての顧客の会計データベースの読み書きができます。
  • オンプレミス版のサーバーは、通常の運用中に xp_cmdshell を有効にします。そのため、sysadmin からサーバー上の OS コマンド実行にもつながる、と NVD は説明しています。

攻撃の手順や計算方法は、本稿では扱いません。公開情報を読んだだけで、再現はしていません。

評価

指標値
CVSS v3.19.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H（NVD 掲載の CNA による評価・Secondary）
CVSS v4.09.3（同上）
CWECWE-547（ハードコードされた定数）・CWE-1391
NVD2026-11-06 登録。状態は「Received」で、NVD 自身の評価は未実施
CISA SSVC悪用: なし、自動化: 可能、技術的影響: 全面（CISA Coordinator・11/6）
EPSS未算出（FIRST の API は 11/7 時点で該当なし）
CISA KEV掲載なし（11/7 確認）

認証が要らず CVSS が 9 以上のため、当サイトの基準では critical とします。悪用の報告はまだ確認できていません。

影響を受ける版と対処

  • 影響: Jumis（提供元 Jumis Pro SIA）の TJ7.0.141.36 より前（NVD の記載。0 から TJ7.0.141.36 未満）。
  • 修正版: 上の記載から TJ7.0.141.36 以降と読めますが、提供元の勧告・リリースノートは確認できていません。確認できた参照先は、提供元のトップページ（mansjumis.lv）と第三者の解説だけです。
  • 修正前に考えられる対策（一般的なもの）: SQL Server（TCP 1433・UDP 1434）に社外や不要なネットワークから届かないようにする、##Tilde_JumisAdmin## のログイン記録を見直す、xp_cmdshell の利用状況を確認する、データベースのバックアップを取っておく。

利用者が確認すること

  1. Jumis を使っているか、サーバーの版が TJ7.0.141.36 より前かを確認します。
  2. SQL Server のポートが、インターネットや不要な社内ネットワークから届かないかを確認します。
  3. ##Tilde_JumisAdmin## による身に覚えのないログインや、xp_cmdshell の不審な実行がないかを見直します。
  4. 提供元に、修正版の有無と更新手順を問い合わせます。

未確認の点

  • 修正版の正式な公表（版・日付）と、提供元の勧告の内容。
  • 実際の悪用の有無と被害（KEV 掲載なし、EPSS 未算出）。
  • NVD 自身の評価（現状は NVD 掲載の CNA の評価のみ）。
  • 攻撃に必要な条件の詳細（SQL Server が外部に公開されている割合、既定の設定など）。
  • 影響する版の下限（NVD は「0 から」とのみ記載）。

この記事について

AI の利用
本記事は AI が NVD や提供元の公開情報をもとに作成しました。数値は取得時点（2026-11-07）のもので、未確認の点は本文に明記しています。

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事