「Sophos UTM」に深刻なRCE脆弱性 - EOLで手動パッチ必要

Sophosのセキュリティゲートウェイ製品「Sophos UTM」に深刻な脆弱性が判明した。同製品のサポートはすでに終了しているが、同社では修正パッチを用意しており、急いで適用するよう求めている。

同社は現地時間2026年10月28日、セキュリティアドバイザリを公開。同製品に関するパストラバーサルの脆弱性「CVE-2026-118633」について明らかにした。外部のセキュリティ研究者より、同社のバグバウンティプログラムを通じて報告を受けたという。

同脆弱性は、メールプロキシを使用し、スキャン機能を有効にしている場合に影響。数分間にわたり攻撃を繰り返し、処理の競合状態を引き起こすことで、認証を経ずに「root」権限で任意のコマンドを実行できる。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.2」、重要度は4段階中もっとも高い「クリティカル（Critical）」と評価されている。

同製品の全バージョンが同脆弱性の影響を受ける。同社は修正パッチを用意したが、サポートが終了しているため自動更新によるパッチの配信は行わず、利用者が手動で導入する必要がある。

メール保護機能を利用している場合は、すみやかにパッチを適用するよう同社は求めた。あわせてサポートが提供されている「Sophos Firewall」への移行を呼びかけている。

（Security NEXT - 2026/10/29 ）ツイート