「TrendAI Apex One」に複数脆弱性 - 一部はすでに悪用

トレンドマイクロの企業向けエンドポイントセキュリティ製品「TrendAI Apex One（旧Trend Micro Apex One）」に複数の脆弱性が判明した。一部脆弱性は、すでに悪用が確認されているという。

同社は2026年5月21日、アドバイザリを公開し、8件の脆弱性を明らかにしたもの。「TrendAI Apex One」「Trend Micro Apex One as a Service」「Standard Endpoint Protection」が影響を受ける。

「CVE-2026-34926」は、「Apex One」のサーバに確認されたパストラバーサルの脆弱性。オンプレミス版のみ影響があり、すでに悪用が確認されているという。

悪用するには「Apex One」が稼働するサーバOSの管理者権限が必要となるが、サーバ上の重要なテーブルやファイルを改ざんでき、セキュリティエージェントに対して悪意あるコードを配布することが可能となる。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「6.7」、重要度は「中（Medium）」、「CVSSv4.0」では「4.9」と評価されている。

一方、のこる7件については、セキュリティエージェントに確認された脆弱性。6件については送信元確認が不十分な脆弱性、1件は競合状態が生じる「Time-of-check to Time-of-use（TOCTOU）」の脆弱性で、ローカル環境における権限昇格につながるおそれがある。

（Security NEXT - 2026/05/21 ）ツイート