米CISA(サイバーセキュリティ・infrastructure security agency)は2026年11月10日、Openwave Messaging LimitedのWebtop Media Transcoderに存在する脆弱性「CVE-2026-111793」を、既知の悪用が確認された脆弱性カタログ(KEV: Known Exploited Vulnerabilities Catalog)に追加した。この脆弱性は「スフィア間の不正なリソース転送(Incorrect Resource Transfer Between Spheres)」に分類されるもので、認証済みユーザーがWebmail体験を迂回することで、本来意図されていない種類の文書を処理・変換できてしまう恐れがある。Webtop Media Transcoderを利用しているメールサービス事業者やホスティング事業者、そのエンドユーザーが影響対象となる。既に悪用が確認されているため、該当システムの管理者は早急な状況確認が求められる。
脆弱性の概要と影響を受ける製品
CISAのKEVカタログに記載された情報をもとに、本脆弱性の概要を以下にまとめる。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-111793 |
| ベンダー | Openwave Messaging Limited |
| 製品 | Webtop Media Transcoder |
| 脆弱性名 | Openwave Messaging Limited Webtop Media Transcoder Incorrect Resource Transfer Between Spheres Vulnerability |
| CWE分類 | CWE-669(不正なリソースのスフィア間転送) |
| KEVカタログ追加日 | 2026年11月10日 |
| 米連邦機関の対応期限 | 2026年11月24日 |
| ランサムウェアでの悪用 | 現時点では不明 |
CISAの説明によれば、本脆弱性は「認証済みユーザーがWebmail体験をバイパスすることで、意図しない種類の文書を処理・変換できてしまう」というもの。製品の正規の利用経路(Webmail)を通さずにトランスコーダー機能へアクセスされることが問題の核心であり、この点がCWE-669「スフィア間の不正なリソース転送」として分類されている理由である。影響を受けるバージョンや修正済みバージョンの詳細については、公式情報に記載がないため、ベンダーのセキュリティアドバイザリを確認してほしい。
深刻度と悪用状況
本脆弱性のCVSS 3.1スコアは「4.3(MEDIUM)」、ベクトル文字列は「CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L」と評価されている。ネットワーク経由(AV:N)で攻撃可能、攻撃条件の複雑さは低い(AC:L)一方、低い権限での認証(PR:L)が必要で、ユーザー操作は不要(UI:N)という特性を持つ。機密性・完全性への影響はないが、可用性への影響は低い(A:L)とされており、単体のCVSSスコアとしては「中程度」に見える。
しかし、CVSSスコアの数値だけで緊急度を判断してはならない。CISAがこの脆弱性をKEVカタログに追加したという事実そのものが、実際の悪用が観測されたことを意味している。KEVカタログは理論上の脆弱性ではなく、現実の攻撃で使われた実績のある脆弱性のみが登録される仕組みであり、米連邦機関には2026年11月24日までの対応が義務付けられている。ランサムウェアでの悪用実績は「不明」とされているが、これは「確認されていない」という意味であり、「悪用されていない」ことを保証するものではない。認証済みユーザーという前提条件があるため、内部ユーザーや侵害済みアカウントを持つ攻撃者による悪用リスクを軽視すべきではない。
ベンダーはどんな修正を行ったか
CISAの公開情報では、CISAが求める対応として「ベンダーの指示に従って緩和策を適用すること」「BOD 26-04(リスクに基づくセキュリティアップデートの優先順位付け)に準拠すること」「緩和策が利用できない場合は製品の利用を中止すること」が挙げられている。具体的な修正パッチのバージョン番号や修正内容の技術的詳細については、公式情報の範囲では明示されていないため、詳細はベンダーのセキュリティアドバイザリを確認してほしい。
ただし、脆弱性の性質(CWE-669)から、修正の方向性は推測できる。「スフィア間の不正なリソース転送」とは、本来は異なる権限レベルや処理経路(ここではWebmail体験とトランスコーダー機能)の間で、リソース(ファイルや文書データ)が適切な境界チェックを経ずに受け渡されてしまう不備を指す。一般的にこの種の脆弱性への修正では、Webmail経由以外からのトランスコーダー呼び出しを検証・制限する処理の追加や、文書種別のチェックを処理パイプラインのより早い段階で厳格に行うといった対応が取られる。実際の修正範囲や修正バージョンはベンダーの告知を必ず確認すること。
今すぐやるべき対策手順
Webtop Media Transcoderを利用している、またはOpenwave製品を含むメールシステムを運用している組織は、以下の手順で対応を進めてほしい。
- 手順1: 利用状況とバージョンの確認 — 自社のメールシステムにWebtop Media Transcoderが組み込まれているか、またそのバージョンを確認する。管理コンソールやベンダーからの導入資料で確認できる。
- 手順2: ベンダー提供のアップデート適用 — Openwave Messaging Limitedが公開するセキュリティアドバイザリに従い、推奨される修正版またはパッチを適用する。適用前には必ずステージング環境での動作確認を行う。
- 手順3: アップデートが適用できない場合の緩和策 — 直ちにパッチ適用ができない場合は、CISAが求めるBOD 26-04のガイダンスに沿って緩和策を検討する。緩和策が存在しない場合は、該当機能の利用停止も選択肢として検討すべきである。
- 手順4: インターネット露出の評価 — 当該システムが外部からアクセス可能な状態になっていないか、ネットワーク構成とアクセス制御(ファイアウォール、WAFなど)を見直す。
- 手順5: 侵害有無の確認 — アクセスログ・処理ログを確認し、Webmail体験を経由しない不審なトランスコード処理要求や、通常と異なるアカウントからのアクセスがないかを調査する。異常が見つかった場合は、CISAの「Forensics Triage Requirements」ガイダンスに沿った対応を検討する。
よくある質問
Q1. CVSSスコアが4.3(MEDIUM)なのに、なぜ緊急対応が必要なのですか?
A1. CVSSスコアは脆弱性の技術的な特性を示す指標であり、実際の悪用状況とは別の評価です。本脆弱性はCISAのKEVカタログに登録されており、これは実際の攻撃での悪用が確認されたことを意味します。スコアの数値だけでなく、KEV登録の事実を優先して対応の緊急度を判断する必要があります。
Q2. 自社では認証済みユーザーしかシステムにアクセスできないので安全ですか?
A2. 本脆弱性は「認証済みユーザー」による悪用を前提としています。つまり、内部の悪意あるユーザーや、他の手段で認証情報を奪取した攻撃者であれば悪用可能ということです。認証されていることが安全性の保証にはならないため、アカウント管理やアクセスログの監視も合わせて見直すことを推奨します。
まとめ
CVE-2026-111793は、Openwave Messaging LimitedのWebtop Media Transcoderにおける「スフィア間の不正なリソース転送」の脆弱性であり、CISAのKEVカタログに実際の悪用が確認された脆弱性として2026年11月10日に追加された。CVSSスコアは中程度(4.3)だが、悪用が確認済みである以上、米連邦機関の対応期限である2026年11月24日を一つの目安として、該当システムを利用する全ての組織が早急に対応すべき事案である。まずは自社システムでの利用状況とバージョンを確認し、ベンダーのアドバイザリに従って修正版の適用またはBOD 26-04に基づく緩和策を実施し、合わせてログを確認して侵害の有無を点検することを強く推奨する。
