「ConnectWise PSA」にXSSなど複数脆弱性 - 修正版が公開

ConnectWiseが提供する業務管理プラットフォーム「ConnectWise PSA」に複数の脆弱性が明らかとなった。脆弱性を修正したアップデートを提供している。

「ConnectWise PSA」は、ITサービス事業者やマネージドサービスプロバイダ（MSP）向けのプロフェッショナルサービスオートメーション製品。現地時間2026年1月15日にセキュリティアドバイザリを公開し、2件の脆弱性「CVE-2026-0695」「CVE-2026-0696」について明らかにしたもの。

「CVE-2026-0695」は、一部コンテンツを出力する際にエンコードが実施されないことに起因するクロスサイトスクリプティング（XSS）の脆弱性。タイムエントリ監査証跡に保存されたノートを表示する際に影響があり、PSAのウェブクライアントやデスクトップ環境でスクリプトが実行されるおそれがある。

あわせて特定のセッションCookieにおいて「HttpOnly」属性が付与されていない脆弱性「CVE-2026-0696」が確認された。クライアント側スクリプトによってCookie値が窃取されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは、「CVE-2026-0695」が「8.7」、「CVE-2026-0696」が「6.5」と評価されている。重要度については「重要（Important）」とした。

同社は、同日リリースした「ConnectWise PSA 2026.1」にて脆弱性の修正を実施。適用優先度については悪用されるリスクが高い「中（Moderate）」としており、数日以内を目安にできるだけ早急にアップデートを実施するよう求めている。

（Security NEXT - 2026/01/19 ） ツイート

PR

関連記事

Chromeにアップデート - 「クリティカル」など脆弱性7件を解消
「SharePoint Server」の複数脆弱性悪用で対策呼びかけ - 米当局
データ分析可視化製品「Ivanti Xtraction」に複数脆弱性
「FortiOS」に複数脆弱性 - アップデートで修正
「Microsoft Defender」に権限昇格の脆弱性 - 修正を実施
「Firefox」にクリティカル脆弱性 - 攻撃コード公開、悪用は未確認
「nginx」に複数脆弱性、「クリティカル」も - 修正版を公開
「Dell PowerFlex」に深刻な脆弱性 - 6月の更新で修正済み
米CISA、「FortiSandbox」「SharePoint」の脆弱性悪用を警告
「SAP」が月例更新、16件の新規アドバイザリ - 3件が「クリティカル」