「Nessus」「Nessus Agent」に脆弱性 - 任意ファイル削除のおそれ

Tenableは、Windows版の「Nessus」や「Nessus Agent」に脆弱性が判明したとしてアップデートを提供している。

Windows環境において、任意のファイルをSYSTEM権限で削除できる脆弱性「CVE-2026-33694」が明らかとなったもの。2025年12月29日に報告を受け、2026年2月18日に受理して対応を進めていた。

ファイル操作時にリンク先を適切に検証しておらず、攻撃者がジャンクション機能を悪用して細工したリンクを利用することで、ファイルの削除処理を誘導できるという。

攻撃にはローカル環境で一定の権限が必要だが、重要な設定ファイルや実行ファイルが消去された場合、コードの実行や権限の昇格につながるおそれがある。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「7.4」、「CVSSv3」では「8.2」と評価されており、重要度は「高（High）」とした。

同社は現地時間2026年4月23日、脆弱性を修正した「Nessus 10.12.0」「同10.11.4」「Nessus Agent 11.1.3」を公開。利用者に注意を呼びかけている。

（Security NEXT - 2026/04/28 ）ツイート