目次（5）
CVE-2026-74993
NVD は 2026-11-02 に、Starnet Computer and Network Systems の Inventory Tracking Application（在庫管理アプリ）にある SQL インジェクション CVE-2026-74993 を登録しました。トルコの国家 CERT（USOM）が採番した件で、認証なしでネットワーク越しにデータベースの情報が読み取られるおそれがあるとされています。公開時点で、修正版や回避策は確認できていません。
何が起きるか
- 種類（CWE-89）: SQL コマンドに使う特殊文字の無害化が不十分で、SQL インジェクションが成立します。
- 評価: CVSS v3.1 は 7.5（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N、USOM による一次評価）です。認証もユーザー操作も不要ですが、影響は機密性のみ（情報の読み取り）と評価されています。
- 影響範囲: 「2026-10-16 までの版」とされています。版番号ではなく日付で示されており、どの版から影響するかは確認できていません。
- 攻撃の具体的な手順は、本記事では扱いません。
数値と出典（2026-11-03 時点）
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-74993 |
| CVSS v3.1（USOM・一次） | 7.5（HIGH） |
| NVD の状態 | Received（NVD 自身の分析は未実施） |
| EPSS | 未算定（FIRST の API に該当データなし） |
| KEV | 掲載なし |
| 修正版 | 公開情報では確認できていません |
| 出典 | トルコ国家サイバーセキュリティ機関（USOM）の勧告 TR-26-1441 |
severity を high とした理由
認証不要でネットワークから到達できますが、評価上の影響は機密性のみで CVSS は 7.5 です。過去の判断の基準（認証不要かつ 9.0 以上は critical、それ未満の重大なものは high）に合わせて high としています。
対応として考えられること
- 組織内で Starnet の Inventory Tracking Application を使っていないかを確認します。
- 使っている場合は、ベンダーまたは USOM の勧告で修正版の有無と更新手順を確認します。
- 修正版が出るまでは、アプリへのアクセスを社内ネットワークや VPN に限定します（推定）。
- WAF などで SQL インジェクションを疑う通信を検知・遮断し、データベース側の接続アカウントの権限を読み取り最小限に絞ります（推定）。
- アプリのアクセスログとデータベースのログに、不審な問い合わせがないかを確認します（推定）。
未確認の点
- 実際の攻撃での悪用は確認していません。
- 影響を受ける具体的な版、修正版の有無、ベンダーの対応状況は確認できていません。
- NVD の分析は未実施で、CVSS は USOM の評価です。
- 製品の国内外での導入状況は確認できていません。
この記事について
- 執筆・編集
- World Security 編集部
出典
- NVD CVE-2026-74993（NIST NVD）
- USOM 勧告 TR-26-1441（USOM（トルコ国家サイバーセキュリティ機関））
- FIRST EPSS（FIRST）
- CISA KEV カタログ（CISA）
