重大 9.1 急ぎ度: 早めに

HCL Notes Clientに脆弱性、TLS通信を傍受される恐れ

HCL Notes Clientが外部へ出す通信で、偽のサーバー証明書を見抜けず、内容を盗み見られたり書き換えられたりする恐れがあります。Notes Clientを社内で使っている組織が対象で、とくに社外ネットワークから使う端末が気になるところです。まずHCLの告知で対象の版と修正版を確認し、台数を洗い出してください。

CVE-2026-108015 公開 2:06 生成 AI で作成

急ぎ度: 早めに

CVSS v4は9.1でcriticalですが、悪用の確認や修正版の情報は示されておらず、攻撃には通信経路上の位置が要るため、至急ではなく早めの対応が妥当と考えます。

関係があるか

Notes Clientを従業員のパソコンに配っている組織が対象です。テレワークや出張などで、社外のネットワークから使う端末が多いほど影響を受けやすくなります。

製品	影響を受ける版	直った版
HCL Notes Client（HCLSoftware）	影響する版の範囲はHCLの告知で確認してください	修正版の番号はHCLの告知で確認してください

確かめ方

1資産管理ツールやソフトウェア配布ツールで、Notes Clientが入っている端末と版を一覧にします。
2端末ごとの版は、Notes Clientのバージョン情報の画面でも確認できます。
3HCLの告知に載っている対象の版と、一覧の版を突き合わせます。
4社外ネットワークや自宅回線から使われている端末を、一覧の中で分けておきます。

何が起きたか

HCL Notes Clientが外部に出す通信で、偽のサーバー証明書を本物と見分けられなくなる脆弱性が見つかりました。悪用されると、TLSで守られているはずの通信の内容を読まれたり、書き換えられたりします。

発端は認証局側にあります。eMudhraの中間CA証明書8件の秘密鍵が漏えいしたため、Notes Clientが外向きの通信で証明書を信頼する仕組みに影響が及びました。この鍵を手にした者は、正規の認証局が署名したように見える証明書を作れてしまいます。

CVE-2026-108015として2026年10月27日に公開され、重大度はcriticalです。CVSS v4は9.1で、弱点の分類はCWE-327です。HCLは、この件についてサポート記事を出しています。

攻撃の流れ

1

秘密鍵の漏えい

eMudhraの中間CA証明書8件の秘密鍵が漏えいし、第三者の手に渡る恐れが生じる。
2

偽証明書の用意

漏えいした鍵を使い、正規の認証局が署名したように見えるサーバー証明書が作れる状態になる。
3

通信経路に介在

攻撃者がNotes Clientの外向き通信の途中に入り込み、サーバーになりすます。
4

傍受と改ざん

Notes Clientが偽の証明書を信頼し、通信内容の読み取りや書き換えが起こりうる。

公開されている情報をもとにした流れの例です。

どう悪用されるか

攻撃者に認証は要らず、利用者に特別な操作を求める必要もありません。ネットワーク経由の攻撃ですが、なりすましが成立するには、攻撃者がNotes Clientの外向き通信の経路上に入れることが前提と読み取れます。CVSS v4の評価でも、攻撃を成立させるために何らかの前提条件が必要とされています。

悪用された場合の被害は、通信の機密性と完全性に及びます。外向きのTLS通信の内容が盗み見られ、書き換えられる恐れがあります。可用性への影響は、評価上は想定されていません。

今すぐやること

1

HCLの告知で対象の版と修正版を確認する

HCLのサポート記事（KB0134749）で、影響する版、修正版、案内されている対処を確認します。内容が更新されることもあるため、対応の前にもう一度見ておくと安心です。
2

修正版を、社外で使う端末から順に適用する

修正版が案内されていれば、更新を配布します。公衆Wi-Fiや自宅回線など、組織の管理外のネットワークを通る端末を先にすると、通信経路に割り込まれるリスクを早く下げられます。
3

ほかの製品がeMudhraの中間CAを信頼していないか確認する

今回の脆弱性の登録はNotes Clientについてです。ただ、鍵が漏えいした認証局を信頼しているソフトウェアは、ほかにもあるかもしれません。主要な業務システムのベンダー告知と、eMudhraの発表を見ておいてください。

すぐ更新できないとき

修正版が当てられるまでの間は、Notes Clientを使う端末を公衆Wi-Fiなど信頼できないネットワークにつながないようにします。社外から使うときは、VPNなど組織が管理する経路を通すと、通信経路に割り込まれる機会を減らせます。ただし暫定策であり、脆弱性そのものは残ります。

端末の信頼設定を集中管理できる環境では、対象の中間CA証明書の信頼を外す方法もあります。ただ、正規にeMudhraの証明書を使うサービスへの接続が止まる恐れがあるため、HCLの告知で案内されているか確認してから進めてください。

背景

Notes Clientは、HCLのNotes・Dominoの環境でメールや予定表、業務アプリを使うためのデスクトップのクライアントです。従業員の端末に長く入っていて、組織の外のネットワークから使われる機会も少なくありません。TLSの通信を守っているのは、接続先のサーバーを認証局の署名で確かめる仕組みです。

その土台である認証局の秘密鍵が漏れると、クライアントのコードに誤りがなくても、偽の証明書を見分けられなくなります。多くの場合、クライアントが持つ信頼済み証明書の一覧を更新する形で対処されます。今回の脆弱性も、Notes Client自身の実装ミスではなく、認証局側の鍵漏えいが出発点になっています。

よくある質問

Q.Notes Clientを社内ネットワークだけで使っている場合、急がなくてよいですか。

A.社外の公衆ネットワークを通らなければ、通信経路に割り込まれる機会は減ると考えられます。ただ、外向きの通信は社内の経路の外にも出ていく可能性があり、ゼロにはなりません。端末の使われ方を一度確認したうえで、修正版が出たら通常の更新計画より前倒しで進めるのが無難です。

まだ分かっていないこと

影響する版の範囲、修正版の番号、HCLが案内する回避策の有無は分かっていません。HCLのサポート記事で確認してください。
実際の攻撃で悪用された事例があるかどうかは分かっていません。
Notes Clientのどの機能が外向きの通信にあたるのか、また、Notes Client以外の製品に影響が及ぶのかは分かっていません。対象の中間CA証明書8件の詳細は、eMudhraの発表で確認してください。

この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。

影響パッケージ

種類	パッケージ	影響を受ける版	直った版
HCLSoftware	Notes Client	—	—

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Private keys for eight eMudhra intermediate CA certificates have been compromised https://emudhra.we-have-a-problem.com/ , which impacts certificate trust for outbound network request features of HCL Notes Client. An unauthenticated network attacker could spoof server certificates to execute a man in the middle (MITM) attack, enabling them to intercept and/or modify the content of outbound TLS connections.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory