2026年11月5日、JPCERT/CCが公開した「Weekly Report」にて、Sophos UTMに任意のコード実行につながる脆弱性が存在することが報告された。Sophos UTMは、ファイアウォールやVPNなどの機能を一台にまとめて提供する統合脅威管理(UTM)製品で、企業や組織のネットワーク境界を守る目的で広く利用されてきた。UTM製品はインターネットと内部ネットワークの境界に設置されることが多く、外部からの通信を直接受け付ける性質上、脆弱性が放置されると攻撃者にとって組織内部への入口として狙われやすい位置にある。今回の問題は、攻撃者に悪用された場合、本来実行されるはずのないコードを対象機器上で実行できる可能性があるとされており、ネットワークの入口に位置する製品だけに影響範囲は大きい。すでにベンダーからパッチが提供されているが、対象製品はサポートを終了しているため自動更新の対象外であり、利用者自身が手動でパッチを適用する必要がある点に特に注意が必要だ。
脆弱性の概要と影響を受ける製品
JPCERT/CCが引用したSophosの公式セキュリティアドバイザリによると、今回報告された脆弱性の概要は以下の通りである。CVE番号・具体的な影響バージョン・修正バージョンといった詳細情報は、JPCERT/CCのWeekly Reportの記載には含まれていない。これらの正確な情報については、下記のベンダーのセキュリティアドバイザリを確認してほしい。
| 項目 | 内容 |
|---|---|
| 製品名 | Sophos UTM |
| 脆弱性の種類 | 任意のコード実行につながる脆弱性 |
| CVE番号 | 公式情報に記載なし(詳細はベンダーのセキュリティアドバイザリを確認してください) |
| 影響を受けるバージョン | 公式情報に記載なし(詳細はベンダーのセキュリティアドバイザリを確認してください) |
| 修正方法 | パッチの適用により解決 |
| サポート状況 | サポート終了済み(手動でのパッチ適用が必要) |
| 情報源 | Sophos Security Advisory (sophos-sa-20261028-utm-rce) |
| 関連文書 | KBA-000049692 |
なお、Sophos UTMは後継製品であるSophos Firewall(XGシリーズ)への移行が進められてきた経緯があり、今回のようにサポート終了製品に脆弱性が見つかった場合でも、開発元の対応方針としては新機能の追加や継続的な修正提供ではなく、既存利用者向けの最低限のセキュリティパッチ提供にとどまることが多い。自社で利用している製品がすでに後継製品へのリプレース対象になっているかどうかも、合わせて確認しておくとよい。
深刻度と悪用状況
JPCERT/CCおよびSophosの公式情報には、本脆弱性のCVSSスコアや実際の悪用状況についての具体的な記載はない。したがって、スコアの数値や「悪用が確認されている」といった断定的な情報をここで示すことはできない。一般論として、CVSS(Common Vulnerability Scoring System)は脆弱性の深刻度を0.0〜10.0の数値で示す指標で、スコアが高いほど攻撃の容易さや影響の大きさが高いことを意味する。ただし、スコアが未公表であっても軽視してよいわけではない。任意のコード実行(RCE)は、攻撃者が対象機器上で意図しない処理を行わせることができる、最も深刻な部類の脆弱性に分類される種類の問題であり、かつ対象製品はすでにサポートが終了しているため、仮に新たな問題が見つかっても今後ベンダーから追加の修正が提供される保証はない。また、RCEがネットワーク境界機器で成立した場合、攻撃者はその機器を踏み台として内部ネットワークへの侵入や、通過する通信の窃取・改ざんを試みる可能性があり、単体の端末が侵害される場合と比べて被害が組織全体に広がりやすい点にも注意が必要だ。悪用状況の有無を含む詳細は、必ずベンダーのセキュリティアドバイザリで最新情報を確認してほしい。
ベンダーはどんな修正を行ったか
公式情報によれば、今回の脆弱性は「当該製品にパッチを適用することで解決する」とされている。修正パッチの具体的な内容(どの処理がどのように改修されたか)や、修正後のバージョン番号については、JPCERT/CCのWeekly Reportには記載がなく、Sophosのセキュリティアドバイザリで確認する必要がある。一般的に、任意のコード実行に関する修正パッチは、入力値の検証処理や権限チェックを強化することで、攻撃者が意図しないコードを実行させる経路を塞ぐ形で行われることが多い。ただし今回のケースで実際にどのような修正が行われたかは公式情報からは判断できないため、推測で補うことは避け、ベンダーが提供する情報を一次情報として参照することが重要だ。また、対象製品がサポート終了済みであることから、通常の自動更新の仕組みではパッチが適用されない可能性が高く、管理者が能動的に対応する必要がある。パッチを手動で適用する場合は、適用前に設定のバックアップを取得しておくこと、また本番環境に適用する前にテスト環境や検証機器で動作確認を行うことが、一般的な運用上の注意点として挙げられる。
今すぐやるべき対策手順
- 手順1:バージョン確認 管理コンソールなどから、現在使用しているSophos UTMのバージョンとビルド番号を確認する。あわせて、自社で管理しているすべての拠点・冗長構成の機器についても漏れなく確認し、一覧化しておくと対応漏れを防ぎやすい。
- 手順2:ベンダー情報の確認 上記のSophosセキュリティアドバイザリおよびKBA-000049692を確認し、自社の環境が対象かどうか、どのパッチを適用すべきかを把握する。
- 手順3:パッチの手動適用 対象製品はサポート終了済みで自動更新の対象外であるため、ベンダーが案内する手順に従い手動でパッチを適用する。適用作業は可能であれば業務影響の少ない時間帯を選び、適用後は管理画面やログから正常に動作していることを確認する。
- 手順4:暫定的な緩和策の検討 パッチ適用までの間、管理画面やVPNなど外部からアクセス可能なインターフェースへのアクセスを信頼できるIPアドレスに限定する、不要なサービスを停止するなど、攻撃を受ける経路を減らす対応を検討する。
- 手順5:侵害有無の確認 アクセスログや管理画面への不審なログイン試行、見知らぬ管理者アカウントの作成などがないか、ログを確認する。異常が見つかった場合は、ベンダーや専門機関に相談する。
サポート終了製品を使い続けるリスク
今回のケースのように、サポートが終了した製品に脆弱性が見つかるという事態は、ネットワーク機器に限らず様々なソフトウェアで発生しうる。サポート終了後は、ベンダーが脆弱性を発見しても必ずしも修正パッチを提供するとは限らず、今回のように個別対応として一度パッチが出ることがあっても、それが今後も継続される保証はない。このため、サポート終了製品を運用し続ける組織は、ベンダーからの情報発信を定期的に確認する体制を整えるとともに、ネットワーク構成上その機器への到達経路を最小限に絞っておくなど、脆弱性が発見された際に迅速に緩和策を取れるよう備えておくことが望ましい。中長期的には、サポートが継続している後継製品や他ベンダーの製品への移行計画を立て、脆弱性対応を場当たり的なパッチ適用に依存しない体制へ移すことが、根本的なリスク低減につながる。
よくある質問
Q1. サポートが終了した製品だが、そのまま使い続けても大丈夫か?
公式情報では、今回の脆弱性自体はパッチ適用により解決するとされている。ただしサポートが終了している製品である以上、今後新たな脆弱性が見つかっても修正が提供されない可能性がある。パッチ適用を行いつつ、後継製品への移行や置き換えも併せて検討することが望ましい。
Q2. CVE番号が分からないが、どう対応すればよいか?
JPCERT/CCのWeekly Reportの記載にはCVE番号が含まれていない。正確な識別番号や影響範囲を確認する場合は、本記事で紹介したSophosのセキュリティアドバイザリおよびKBA-000049692を直接参照してほしい。
Q3. パッチをすぐに適用できない場合はどうすればよいか?
公式情報にはパッチ適用以外の緩和策について具体的な記載はないが、一般的な対応として、管理画面やVPNなど外部公開しているインターフェースへのアクセスを信頼できる範囲に限定する、不要な機能やサービスを停止するといった対応で攻撃を受ける経路を減らすことが考えられる。あくまで一時的な対応であり、できるだけ早期に正式なパッチを適用することが前提となる。
まとめ
Sophos UTMに、任意のコード実行につながる脆弱性が報告された。対象製品はすでにサポートを終了しており、自動更新に頼ることができないため、管理者自身が手動でパッチを適用する必要がある。CVE番号やCVSSスコア、影響バージョンなどの詳細は公式情報には明記されていないため、必ずSophosのセキュリティアドバイザリとKBA-000049692を確認し、現状のバージョン確認・パッチ適用・アクセス制限・ログ確認という基本的な対応を速やかに実施してほしい。あわせて、サポート終了製品を利用し続けること自体のリスクについても、組織として評価と対応方針の検討を進めることが望ましい。
