NetApp StorageGRID の Grid Network 経由の不正リクエスト（CVE-2026-22058）: CVSS v4.0 9.1、11.3 以降が対象、前提条件あり

NetApp StorageGRID（旧 StorageGRID Webscale）の 11.3 以降で、Grid Network の特定のポートと通信でき、製品固有の知識を持つ攻撃者が、不正なリクエストを送れるとして、CVE-2026-22058 が 2026-11-03 に NVD に登録されました。NVD の説明は「不正なリクエストを行える」とだけ書かれ、弱点の種類（CWE）も付いていません。

何が起きるか

• StorageGRID は、オブジェクトストレージを複数のノードで構成する NetApp の製品です。
• 11.3 以降の版で、Grid Network（ノード同士が通信する内部ネットワーク）の特定のポートに届く攻撃者が、不正なリクエストを送れる恐れがあるとされる。
• 条件として、製品固有の知識を持っていることが挙げられています。
• 具体的に何ができるか（どのリクエストか、どの機能か）は、NVD の説明には書かれていません。

数値と severity

• CVSS v4.0 は 9.1（CRITICAL）。ベクターは AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N で、ネットワークから、攻撃の複雑さは高く、特定の条件（AT:P）が必要で、権限も利用者の操作も要らず、機密性・完全性への影響が高いことを示します。可用性への影響はありません。評価元は NetApp（security-alert@netapp.com）で、NVD 上は Secondary です。
• NVD の状態は Received（2026-11-04 時点）で、NVD 自身の評価はまだありません。
• 認証が不要で CVSS が 9 以上のため、severity は critical とします。ただし、攻撃の複雑さが高く、Grid Network に届くことが前提です。インターネットに直接出ている構成でなければ、実際の露出は小さくなります。
• FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません。

対策

• Grid Network を、信頼できないネットワークから分離する。StorageGRID の各ポートへの通信元を、ノード同士と管理用の端末に限定する。
• 11.3 以降を使っている場合は、NetApp のセキュリティ勧告で修正版と回避策を確認する。本稿では勧告を開いておらず、修正版の番号は分かりません。
• Grid Network のポートがインターネットや一般の社内ネットワークに公開されていないか、ファイアウォールの設定を確かめる。

未確認の点

• 修正版の番号と、勧告の中身。
• 「不正なリクエスト」で具体的に何ができるか、どの機能が対象か。
• 実際に悪用されているか、規模はどの程度か。
• 概念実証（PoC）が公開されているか。
• 弱点の種類（CWE）。NVD の最終評価、EPSS。

出典

• NVD: CVE-2026-22058
• NetApp のセキュリティ勧告（NVD の参照先を確認していません。未開封）
• FIRST EPSS（CVE-2026-22058 はデータなし）