「Wing FTP Server」の脆弱性悪用を確認 - 米当局が注意喚起

「Wing FTP Server」の既知脆弱性が悪用されているとして、米当局は注意喚起を行った。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間2026年3月16日、「Wing FTP Server」の脆弱性「CVE-2025-47813」を「悪用が確認された脆弱性カタログ（KEV）」に追加した。

米国内の行政機関に対して指定した期間内に脆弱性への対策を実施するよう促すとともに、広く注意を呼びかけている。

同脆弱性は、サーバのローカルインストールパスが漏洩する脆弱性。認証されたユーザーが細工したCookieを設定することにより、パス情報を取得できる。匿名ログインが可能な環境では、実質的に認証を必要とすることなく悪用されるおそれがある。

CVE番号を採番したMITREは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「4.3」と評価している。脆弱性単体による悪用のインパクトは大きくないものの、他脆弱性と組み合わせて悪用されることが懸念される。

同脆弱性は2025年5月14日にリリースされた「Wing FTP Server 7.4.4」にて修正された。2025年6月には概念実証（PoC）を含む詳細な情報が発見者により公開されている。

（Security NEXT - 2026/03/17 ）ツイート