Progress製データ連携ツール向けAIエージェント定義ファイルに脆弱性

Progress Softwareが提供するデータ連携ツール「Progress DataDirect」の一部定義ファイルに
脆弱性が明らかとなった。アップデートが提供されている。

同社は現地時間2026年10月6日付でセキュリティアドバイザリを公開し、「Autonomous REST Connector（ARC）」におけるAIエージェントの定義ファイルに存在するコマンドインジェクションの脆弱性「CVE-2026-91140」を明らかにした。

GitHubの公開リポジトリで提供している「REST API」向けのデータモデル生成を支援するAIエージェントの定義ファイルに問題が判明したもの。

入力データの検証や適切な処理が不十分なまま、細工されたデータがそのままシェル操作に利用されるため、細工されたデータをエージェントで処理すると、任意のコマンドが実行されるおそれがあるという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.6」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

（Security NEXT - 2026/10/19 ）ツイート