--- title: "Starnet Computer and Network Systems の Inventory Tracking Application（2026-10-16 時点まで）に SQL インジェクション CVE-2026-74993（CVSS v3.1 7.5）: 認証なしでデータベースの内容を読み取られるおそれ" url: https://n-t-p.io/worldsecurity/articles/starnet-inventory-tracking-application-sql-injection-cve-2026-74993 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 高 cve: CVE-2026-74993 --- # Starnet Computer and Network Systems の Inventory Tracking Application（2026-10-16 時点まで）に SQL インジェクション CVE-2026-74993（CVSS v3.1 7.5）: 認証なしでデータベースの内容を読み取られるおそれ > **TL;DR:** Starnet Computer and Network Systems の Inventory Tracking Application（2026-10-16 までの版）に、認証不要の SQL インジェクション（CVE-2026-74993、CWE-89）。CVSS v3.1 7.5（USOM の一次評価、機密性のみ）、KEV なし、EPSS は未算定。修正版・回避策は確認できていない。 **要点** - Starnet Computer and Network Systems の Inventory Tracking Application（2026-10-16 までの版）に SQL インジェクションの欠陥（CVE-2026-74993、CWE-89）がある - 認証もユーザー操作も不要でネットワークから到達できる。CVSS v3.1 7.5（USOM の一次評価）で、影響は機密性のみ - KEV 掲載なし。EPSS は未算定。NVD は Received で分析は未実施 - 影響する版は日付表記のみで、修正版・回避策は確認できていない。アクセス元の制限やログ確認を検討する（推定） - 悪用、具体的な影響版、ベンダーの対応は未確認 NVD は 2026-11-02 に、Starnet Computer and Network Systems の Inventory Tracking Application（在庫管理アプリ）にある SQL インジェクション CVE-2026-74993 を登録しました。トルコの国家 CERT（USOM）が採番した件で、認証なしでネットワーク越しにデータベースの情報が読み取られるおそれがあるとされています。公開時点で、修正版や回避策は確認できていません。 ## 何が起きるか - **種類（CWE-89）**: SQL コマンドに使う特殊文字の無害化が不十分で、SQL インジェクションが成立します。 - **評価**: CVSS v3.1 は 7.5（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N、USOM による一次評価）です。認証もユーザー操作も不要ですが、影響は機密性のみ（情報の読み取り）と評価されています。 - **影響範囲**: 「2026-10-16 までの版」とされています。版番号ではなく日付で示されており、どの版から影響するかは確認できていません。 - 攻撃の具体的な手順は、本記事では扱いません。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | CVE | CVE-2026-74993 | | CVSS v3.1（USOM・一次） | 7.5（HIGH） | | NVD の状態 | Received（NVD 自身の分析は未実施） | | EPSS | 未算定（FIRST の API に該当データなし） | | KEV | 掲載なし | | 修正版 | 公開情報では確認できていません | | 出典 | トルコ国家サイバーセキュリティ機関（USOM）の勧告 TR-26-1441 | ## severity を high とした理由 認証不要でネットワークから到達できますが、評価上の影響は機密性のみで CVSS は 7.5 です。過去の判断の基準（認証不要かつ 9.0 以上は critical、それ未満の重大なものは high）に合わせて high としています。 ## 対応として考えられること 1. 組織内で Starnet の Inventory Tracking Application を使っていないかを確認します。 2. 使っている場合は、ベンダーまたは USOM の勧告で修正版の有無と更新手順を確認します。 3. 修正版が出るまでは、アプリへのアクセスを社内ネットワークや VPN に限定します（推定）。 4. WAF などで SQL インジェクションを疑う通信を検知・遮断し、データベース側の接続アカウントの権限を読み取り最小限に絞ります（推定）。 5. アプリのアクセスログとデータベースのログに、不審な問い合わせがないかを確認します（推定）。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。 - 影響を受ける具体的な版、修正版の有無、ベンダーの対応状況は確認できていません。 - NVD の分析は未実施で、CVSS は USOM の評価です。 - 製品の国内外での導入状況は確認できていません。 ## 出典 - [NVD CVE-2026-74993](https://nvd.nist.gov/vuln/detail/CVE-2026-74993) — NIST NVD - [USOM 勧告 TR-26-1441](https://siberguvenlik.gov.tr/guvenlik-bildirimleri/detay/tr-26-1441) — USOM（トルコ国家サイバーセキュリティ機関） - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-74993) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/starnet-inventory-tracking-application-sql-injection-cve-2026-74993