「MOVEit WAF」に検知回避の深刻な脆弱性 - 早急な対策を

ウェブアプリケーションファイアウォール（WAF）製品「Progress MOVEit WAF」において、製品の根幹となるWAF機能に深刻な脆弱性が判明した。利用者に対応を呼びかけている。

同製品は、ファイル転送製品「MOVEit Transfer」のサーバ保護に特化したWAF製品。Progress Softwareは現地時間2026年4月20日、重要度を「クリティカル（Critical）」とするセキュリティアドバイザリを公開し、5件の脆弱性に対処したことを明らかにした。

「CVE-2026-21876」は、同製品で利用しているWAF向けシグネチャルールセット「OWASPコアルールセット（OWASP CRS）」の脆弱性。

マルチパートの処理において、複数のContent-Typeパートを含む細工されたリクエストで、文字コードセットによる検知の回避が可能となる。脆弱性は2026年1月に公表され、「OWASP CRS」のアップデートもリリースされていた。

CVE番号を採番したGitHubでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.3」、重要度を4段階中もっとも高い「クリティカル（Critical）」としている。

（Security NEXT - 2026/04/22 ）ツイート