--- title: "NetApp StorageGRID の Grid Network 経由の不正リクエスト（CVE-2026-22058）: CVSS v4.0 9.1、11.3 以降が対象、前提条件あり" url: https://n-t-p.io/worldsecurity/articles/netapp-storagegrid-unauthorized-requests-cve-2026-22058 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 cve: CVE-2026-22058 --- # NetApp StorageGRID の Grid Network 経由の不正リクエスト（CVE-2026-22058）: CVSS v4.0 9.1、11.3 以降が対象、前提条件あり > **TL;DR:** NetApp StorageGRID 11.3 以降で、Grid Network の特定のポートと通信でき製品固有の知識を持つ攻撃者が不正なリクエストを送れる欠陥（CVE-2026-22058、CVSS v4.0 9.1）。認証不要で 9 以上のため critical だが、攻撃の複雑さは高い。KEV 未掲載、EPSS はデータなし。修正版・具体的な影響・悪用の有無は未確認。 **要点** - StorageGRID 11.3 以降で、Grid Network の特定のポートに届く攻撃者が不正なリクエストを送れる恐れがある（CVE-2026-22058）。 - CVSS v4.0 は 9.1（AV:N・AC:H・AT:P・PR:N、評価元 NetApp）。NVD の状態は Received。 - 攻撃には製品固有の知識と Grid Network への到達が要る。対策は Grid Network を分離し、通信元を限定すること。 - KEV には載っておらず、EPSS はデータなし。 - 修正版・具体的な影響・悪用の有無は未確認。 NetApp StorageGRID（旧 StorageGRID Webscale）の 11.3 以降で、Grid Network の特定のポートと通信でき、製品固有の知識を持つ攻撃者が、不正なリクエストを送れるとして、CVE-2026-22058 が 2026-11-03 に NVD に登録されました。NVD の説明は「不正なリクエストを行える」とだけ書かれ、弱点の種類（CWE）も付いていません。 ## 何が起きるか - StorageGRID は、オブジェクトストレージを複数のノードで構成する NetApp の製品です。 - 11.3 以降の版で、Grid Network（ノード同士が通信する内部ネットワーク）の特定のポートに届く攻撃者が、不正なリクエストを送れる恐れがあるとされる。 - 条件として、製品固有の知識を持っていることが挙げられています。 - 具体的に何ができるか（どのリクエストか、どの機能か）は、NVD の説明には書かれていません。 ## 数値と severity - CVSS v4.0 は 9.1（CRITICAL）。ベクターは AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N で、ネットワークから、攻撃の複雑さは高く、特定の条件（AT:P）が必要で、権限も利用者の操作も要らず、機密性・完全性への影響が高いことを示します。可用性への影響はありません。評価元は NetApp（security-alert@netapp.com）で、NVD 上は Secondary です。 - NVD の状態は Received（2026-11-04 時点）で、NVD 自身の評価はまだありません。 - 認証が不要で CVSS が 9 以上のため、severity は critical とします。ただし、攻撃の複雑さが高く、Grid Network に届くことが前提です。インターネットに直接出ている構成でなければ、実際の露出は小さくなります。 - FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません。 ## 対策 - Grid Network を、信頼できないネットワークから分離する。StorageGRID の各ポートへの通信元を、ノード同士と管理用の端末に限定する。 - 11.3 以降を使っている場合は、NetApp のセキュリティ勧告で修正版と回避策を確認する。本稿では勧告を開いておらず、修正版の番号は分かりません。 - Grid Network のポートがインターネットや一般の社内ネットワークに公開されていないか、ファイアウォールの設定を確かめる。 ## 未確認の点 - 修正版の番号と、勧告の中身。 - 「不正なリクエスト」で具体的に何ができるか、どの機能が対象か。 - 実際に悪用されているか、規模はどの程度か。 - 概念実証（PoC）が公開されているか。 - 弱点の種類（CWE）。NVD の最終評価、EPSS。 ## 出典 - NVD: CVE-2026-22058 - NetApp のセキュリティ勧告（NVD の参照先を確認していません。未開封） - FIRST EPSS（CVE-2026-22058 はデータなし） ## 出典 - [NVD CVE-2026-22058](https://nvd.nist.gov/vuln/detail/CVE-2026-22058) — NIST NVD - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-22058) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/netapp-storagegrid-unauthorized-requests-cve-2026-22058