SEPPmail Secure Email Gateway 15.1.1 未満（CVE-2026-114426）: ログインなしの大量・低速アップロードで停止させられる（CVSS v4 8.7）。修正の詳細は未確認

SEPPmail Secure Email Gateway（SEG）の 15.1.1 より前の版に、認証なしでサービスを止められる欠陥（CVE-2026-114426）が登録されました。NVD への登録は 2026-11-04（状態は Deferred）、評価元はスイスの国家サイバーセキュリティセンター（NCSC.ch）で、NVD 自身の評価はまだありません。

何が起きるか

• NVD の説明によると、SEG の v1 ファイルインターフェースは、アップロードされたデータを「呼び出し元の認証より前に」処理して書き込みます。しかも、リクエスト全体の大きさに絶対的な上限がありません。
• そのため、ログインしていない外部の攻撃者が、同時に大量に、または極端にゆっくり送るリクエストで、処理用のワーカーを占有し、一時ディレクトリの空き容量を使い切らせることができます。結果としてサービスが使えなくなります（可用性への影響）。
• 情報の漏えいや改ざん、コード実行は、NVD の説明と評価には含まれていません。

数値と severity

• CVSS v4.0: 8.7（HIGH、AV:N/AC:L/AT:N/PR:N/UI:N、可用性のみ高）。評価元は NCSC.ch です。弱点の種類は CWE-400（資源の過剰消費）です。
• 認証は不要（PR:N）ですが、影響はサービス停止に限られ CVSS も 9 未満のため、severity は high とします。
• CISA の KEV には載っていません（確認時点の公開リスト）。EPSS は 0.32%（11/4 時点の FIRST の値、順位は下位約 25%）です。

修正の状況

• 影響を受けるのは 15.1.1 より前の版とされており、15.1.1 以降で直っていると読めます。
• NVD が参照している SEPPmail のリビジョン履歴ページは、画面を JavaScript で組み立てており、今回の確認では 15.1.1 の変更内容を読めていません。修正の中身、回避策、同じ製品の旧系統（長期サポート版など）への対応は確認できていません。
• 同じ製品では 11/4〜5 に、別の欠陥 2 件（CVE-2026-114424・114425）も登録されています。本件とは別の件です。

対策として考えられること

1. SEG を使っている場合は、15.1.1 以降への更新を計画します。使っている版を先に確認します。
2. 更新までの間は、v1 ファイルインターフェースをインターネットから直接触れないようにする、同じ送信元からの同時接続数や接続時間を制限する、といった対応が考えられます。ただし有効かどうかは未確認です（推定）。
3. ワーカーの使用状況や一時ディレクトリの空き容量を監視し、急に増えたときに気付けるようにします（推定）。

未確認の点

• 15.1.1 の変更内容と、修正が入った版の正確な範囲。
• 回避策の有無、v1 ファイルインターフェースを無効にできるかどうか。
• 実際の悪用の有無、公開済みの概念実証（PoC）の有無。
• 利用規模、インターネットに公開されている台数。
• NVD の最終評価（現在は NCSC.ch の評価のみ）。