Vatos DLP 1.1.176 以上 1.1.243 未満でパスワードを平文で保存し、ドメイン認証情報が使い回される恐れ（CVE-2026-86715、CVSS v3.1 7.1）: 修正版は 1.1.243

NVD は 2026-10-30 に、データ漏えい防止（DLP）製品「Vatos DLP」の脆弱性 CVE-2026-86715 を登録しました。登録元はトルコ国家サイバーセキュリティ機関の窓口（USOM）です。パスワードを平文のまま保存してしまう問題（CWE-256）で、影響を受けるのは 1.1.176 以上 1.1.243 未満の版です。保存された認証情報が読み取られると、既知のドメイン認証情報の悪用（Use of Known Domain Credentials）につながる可能性があります。CVSS v3.1 は 7.1（AV:L／PR:L、機密性・完全性が「高」）で、攻撃には製品が動く環境へのローカルな低権限のアクセスが必要です。修正版は 1.1.243 とされています。

何が起きるか

• 対象は Crypttech Crypto and Informatics Technologies Industry and Trade Inc. の Vatos DLP です。影響版は「1.1.176 以上 1.1.243 未満」で、NVD ではそれ以外の版は影響なしとされています。
• 原因はパスワードの平文保存です。登録元の説明は「平文でのパスワード保存により、既知のドメイン認証情報の使用を許す」というものです。保存場所（設定ファイル、データベース、ログなど）と、保存されるパスワードの種類（製品の連携用アカウントか、利用者のドメインアカウントか）は、公開情報からは確認できていません。
• 攻撃の条件は、CVSS の評価では「ローカル」「低権限」「利用者の操作なし」です。つまり、遠隔から直接突かれる種類ではなく、製品が動くホストやその保存領域に、ある程度の権限で触れられる攻撃者が対象になります。
• 影響は機密性と完全性が「高」、可用性は「なし」です。DLP 製品は組織内の通信やファイルを監視する立場にあるため、その連携用の認証情報が漏れると、ドメイン内の別のシステムに足がかりを得られる恐れがあります（推定）。
• 本記事では攻撃の詳細は扱いません。

修正の状況

• NVD の影響版の範囲は「1.1.243 より前」で、1.1.243 以降は影響なしと記載されています。1.1.243 が修正版である可能性が高いですが、ベンダーの変更履歴は確認できていません（推定）。
• NVD の参照先は、トルコ国家サイバーセキュリティ機関の通知（TR-26-1432）のみです。ページは動的に表示されるため、本文は取得できず、内容は確認していません。
• 1.1.243 に更新しても、更新前に保存されていたパスワードが漏れていた場合は残ります。更新後の認証情報の変更が必要かは、ベンダーの案内を確認する必要があります（推定）。

数値と出典（2026-11-02 時点）

CVE	製品	影響版	種類	必要な権限	CVSS v3.1	CWE	EPSS（パーセンタイル）
CVE-2026-86715	Vatos DLP	1.1.176 以上 1.1.243 未満	パスワードの平文保存	低（ローカル）	7.1	CWE-256	0.13%（2.7%）

• NVD の状態は Deferred で、NVD 自身の評価はまだありません。CVSS は登録元（CNA）の値で、v3.1 のベクターは AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N（7.1）です。CVSS v4.0 の値は NVD にありません。
• EPSS（FIRST）は 2026-11-01 の値で、0.13%（パーセンタイル 2.7%）です。
• KEV（CISA の悪用確認済みカタログ）には掲載がありません（2026-11-02 取得、カタログの公開日は 2026-10-30）。
• CISA の SSVC 評価（NVD に記載）は、悪用 none（確認なし）・自動化 no（自動化できない）・技術的影響 total（全面的）です。

severity を medium とした理由

攻撃にはローカルな低権限のアクセスが必要で、SSVC でも自動化できないと評価されています。実際の悪用は確認しておらず、KEV にも載っておらず、EPSS も 0.13% と低く、修正版が出ています。一方で、DLP 製品の認証情報が露出すると影響が大きいため、low にはしていません。公開時は medium を提案します（high とする案もあります）。

対応として考えられること

1. 自組織で Vatos DLP を使っているか、版が 1.1.176 以上 1.1.243 未満かを確認します。
2. 1.1.243 以降に更新します。更新後に版数を再確認します。
3. 製品が使うサービスアカウントなどの認証情報を、更新後に変更するかをベンダーに確認し、変更が必要な場合は新しいものに差し替えます（推定）。
4. 製品が動くホストへのログイン権限と、設定・保存領域へのアクセス権を見直し、必要な人だけに絞ります（推定）。
5. 更新前の期間に、製品の連携用アカウントが通常と異なる場所や時間から使われていないかを、ドメインの認証ログで確認します（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• パスワードの保存場所と、保存されるパスワードの種類は確認していません。
• 1.1.243 が修正版であることを示すベンダーの記述は確認していません（推定）。
• 通知（TR-26-1432）の本文は取得できず、確認していません。
• NVD 自身の評価は未実施（Deferred）です。CVSS は登録元の値で、v4.0 の値はありません。