EagleCloud Aquilaの脆弱性、認証後にコード実行の恐れ
EagleCloud Aquilaのオンプレミス版に、認証済みの攻撃者が外部から任意のコードを実行できる脆弱性が見つかりました。2.6.7.2以前を自社内で動かしている組織が対象です。まず版とPigeon MFAサービスの利用状況を確認し、ベンダーの告知で修正版の有無を調べてください。
急ぎ度: 早めに
CVSS v4が9.4と高く、多要素認証の基盤で任意のコードが実行される一方、悪用には認証が必要で、実際の悪用を示す情報も出ていないため、至急ではなく早めの対応と判断しました。
関係があるか
EagleCloud Aquilaをオンプレミス環境で運用し、Pigeon MFAサービスを動かしている組織が影響を受けます。ネットワーク経由で到達できる構成ほど、リスクは高くなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| EagleCloud Aquila（オンプレミス版のPigeon MFAサービス） | 2.6.7.2以前 | 未確認。ベンダーの告知を参照してください |
確かめ方
- 1Aquilaの管理画面やベンダー提供の資料で、導入している版を確認します。2.6.7.2以前なら対象です。
- 2自社の環境がオンプレミスかどうかを確認します。脆弱性の説明が対象にしているのは、オンプレミスのプラットフォームです。
- 3Pigeon MFAサービスが有効かどうかを、構成情報や資産台帳で確認します。
- 4Aquilaに到達できるネットワークの範囲と、ログインできるアカウントの一覧を洗い出します。
何が起きたか
EagleCloud AquilaのオンプレミスプラットフォームにあるPigeon MFAサービスに、認証済みの攻撃者がネットワーク越しに任意のコードを実行できる脆弱性が見つかりました。
分類はCWE-94のコードインジェクションです。コードを生成する処理の制御が不適切で、外部から与えた内容が実行されるコードに入り込んでしまいます。CVSS v4は9.4で、重要度はcriticalです。
公開日は2026年10月28日です。Mandiantの脆弱性開示の資料（MNDT-2026-0039）と、GitHubのアドバイザリ（GHSA-fw38-659r-v3m6）が出ています。
攻撃の流れ
-
1
認証を通る
攻撃者がAquilaに、低い権限でもログインできる状態になります。
-
2
ネットワーク到達
Pigeon MFAサービスにネットワーク越しにアクセスします。
-
3
コードが混入
コードを生成する処理に外部の内容が入り込み、そのまま実行されます。
-
4
任意コード実行
サーバー上で攻撃者の意図した処理が動きます。
どう悪用されるか
悪用にはAquilaでの認証が必要です。ただし、必要な権限は低いと評価されており、管理者権限までは求められません。ネットワーク経由で攻撃でき、利用者の操作も要りません。攻撃の難易度は低いとされています。
悪用されると、Pigeon MFAサービスが動くサーバーで任意のコードが実行されます。機密性・完全性・可用性のすべてで大きな影響が想定され、このサーバーから連携する別のシステムにも影響が及ぶ評価です。認証に使われるアカウントが一つでも奪われている環境では、この脆弱性が次の足がかりになります。
今すぐやること
-
1
導入版と利用状況を確認する
Aquilaの版が2.6.7.2以前か、Pigeon MFAサービスが有効かを調べます。影響範囲はここで決まります。
-
2
ベンダーの告知で修正版を確認する
EagleCloudの告知とMandiantの開示資料を見て、修正版や案内が出ているかを確認します。出ていれば修正版に更新します。
-
3
到達できるネットワークを絞る
Aquilaとの通信を、管理や認証に必要な接続元だけに限ります。インターネットに直接公開している構成は、先に見直してください。
-
4
アカウントとログを点検する
Aquilaにログインできるアカウントを棚卸しし、不要なものや使われていないものを無効にします。あわせて、心当たりのないログインや、サーバー上の不審な処理がないかをログで確認します。
すぐ更新できないとき
修正版が手元にない間は、Aquilaへの通信を必要な接続元だけに限り、ログインできるアカウントを最小限にしてください。ベンダーが案内した回避策は確認できていないため、告知が出たらそちらに従います。
背景
Pigeon MFAは、ログイン時の多要素認証を受け持つサービスです。ここで任意のコードが動くと、認証の結果そのものを信用できなくなります。オンプレミス版は自社のサーバーで動くため、更新の時期も自社が決めることになります。修正版が出ても、適用しない限り脆弱性は残ります。
CWE-94のコードインジェクションは、外部から渡された内容を、処理の途中でコードとして解釈してしまう種類の脆弱性です。成立すると、サーバー上で任意の処理が動きます。今回はMandiantの開示資料も公開されており、技術的な詳細はそちらで確認できます。
よくある質問
Q.CVE-2026-104383とGHSA-fw38-659r-v3m6は別の脆弱性ですか。
まだ分かっていないこと
- 修正版の版番号と提供状況は分かっていません。EagleCloudの告知とMandiantの開示資料で確認してください。
- 実際の攻撃で悪用されたかどうかは分かっていません。
- 必要な権限の具体的な範囲と、クラウド提供のAquilaへの影響は分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| EagleCloud | Aquila |
2.6.7.2 以前 |
— |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper Control of Generation of Code in Pigeon MFA service in EagleCloud Aquila versions through 2.6.7.2 on on-premises platforms allows authenticated remote attackers to execute arbitrary code via code injection
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web mandiant-cve@google.com
- web nvd.nist.gov
- web github.com