SEPPmail Secure Email Gateway 15.1.1 未満で、認証なしで OS コマンド実行やファイル操作の恐れ（CVE-2026-114424・114425）: CVSS v4.0 9.2、修正版あり

SEPPmail Secure Email Gateway（SEG）の 15.1.1 より前の版について、2 件の脆弱性（CVE-2026-114424・CVE-2026-114425）が 2026-11-04 に NVD へ登録されました。登録元はスイス連邦サイバーセキュリティ庁（NCSC）の脆弱性窓口（vulnerability@ncsc.ch）です。NVD の状態は「Deferred」で、NVD 自身の分析は付いていません。

何が起きるか

• CVE-2026-114424（CWE-95）: 送信者・受信者の置換ルールで、攻撃者が影響できる置換文字列が Perl コードとして評価されることがあります。メール由来のデータを使う有効なルールがあり、その検索条件に一致すると、認証のない遠隔の送信者が、メール処理ワーカーの権限で OS コマンドを実行できます。NVD の記述では、確認されたワーカーの権限は root です。
• CVE-2026-114425（CWE-73）: 外部から渡される大容量ファイル転送（LFT）の添付メタデータに含まれるファイルパスが、そのまま信用されます。LFT が有効な環境で、メッセージが該当の処理経路に達すると、認証のない遠隔の送信者が、ワーカーからアクセスできる通常ファイルの開示・移動・削除を起こせます。こちらも確認された権限は root とされています。
• どちらも、ネットワーク経由で、認証・利用者の操作は不要です。ただし攻撃には特定の条件（ルールの設定、LFT の有効化）が要ります。

数値と severity

• どちらも CVSS v4.0 で 9.2（CRITICAL）。ベクターは AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H です。値は NVD ではなく登録元（NCSC）が付けた第三者評価です。
• 認証不要で CVSS 9 以上のため、severity は critical とします。
• EPSS は未算出、CISA の KEV には掲載がありません（本記事の作成時点）。

影響を受ける版と修正

• 影響を受けるのは SEPPmail Secure Email Gateway の 15.1.1 より前です。NVD の登録データでは 15.1.1 未満が対象で、15.1.1 が修正版とされています。
• SEPPmail の改版履歴は NVD の参照先として挙がっていますが、本記事では内容を確認できていません。

対策

• SEG を 15.1.1 以降に更新する。
• 更新までの間に考えられる対応（公式の指示ではありません）:
  • 置換ルールのうち、メール由来のデータを置換文字列に使うものを見直し、無効にできないか検討する。
  • LFT を使っていなければ無効のままにする。使っている場合は、外部から届く LFT の経路を一時的に絞れるか検討する。
  • 更新前の期間にメール処理の異常（想定外のコマンド実行やファイル操作の痕跡）がないか、ログを確認する。

未確認の点

• 悪用の有無と、攻撃コードの公開状況。
• SEPPmail 側の勧告・改版履歴の本文。
• 15.1.1 より前の「どの版から」影響を受けるか（NVD では 0 から 15.1.1 未満）。
• EPSS、NVD の最終評価。

出典

• NVD: CVE-2026-114424
• NVD: CVE-2026-114425
• SEPPmail 改版履歴（NVD の参照先。本文は未取得）