CVE の正式な記録の公開前です
セキュリティの情報源の記事に出た番号をもとに載せています。番号や内容が変わることがあります。CVE.org・NVD に記録が公開されたら、内容をそれに置き換えます。
NoMachineに認証不要のコード実行の脆弱性、CVSS9.8
リモートアクセス製品NoMachineのnxwebrunnerに、認証なしで外部から任意のコードを実行されるおそれのある脆弱性(CVE-2026-114549)が公表されました。NoMachineを社内やクラウド上で使っている組織が対象になり得ます。まず利用状況と外部からの到達可否を洗い出し、ベンダーの修正情報を確認してください。
急ぎ度: 早めに
認証不要でリモートからコード実行に至るCVSS 9.8の深刻な欠陥ですが、実際の攻撃での悪用や修正版の詳細は現時点で明らかになっていないため、まず現状把握と公開範囲の絞り込みを急ぐ段階です。
関係があるか
NoMachineをサーバーやリモート接続用の端末にインストールしている組織が対象です。特に、インターネットや信頼できないネットワークから到達できる状態で運用している環境は、リスクが高くなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| NoMachine(nxwebrunner コンポーネント) | 影響を受ける版は公表されていません。ZDIの告知（ZDI-26-786）とNoMachineの告知で確認してください。 | 修正版の版番号は公表されていません。NoMachineの公式告知で確認してください。 |
確かめ方
- 1資産管理台帳やソフトウェア一覧で、NoMachineがインストールされているサーバー・PC・仮想マシンを洗い出す。
- 2見つかった各環境でNoMachineの版を確認し、ベンダーが示す影響範囲と照らし合わせる。
- 3それらの環境が、インターネットや他拠点・協力会社などの外部ネットワークから到達できる状態かを、ファイアウォールやクラウドのセキュリティグループの設定で確認する。
- 4個人や部署が独自に入れている可能性があるため、リモートアクセス用途の常駐プロセスやサービスの一覧も確認する。
何が起きたか
リモートアクセス製品NoMachineに、外部の攻撃者が認証なしで任意のコードを実行できるおそれのある脆弱性が見つかりました。脆弱性発見・報告の仲介を行うZero Day Initiative(ZDI)が2026年10月22日付でZDI-26-786として公表し、深刻度をCVSS 9.8（最高10.0）と評価しています。ログインが不要なため、もし攻撃が成立すると、利用者のIDやパスワードの強さに関係なく影響を受けます。
弱点の種類はヒープベースのバッファオーバーフローです。プログラムが確保したメモリ領域より多いデータを書き込んでしまう不具合で、メモリの内容が壊され、条件が揃うと攻撃者の指定した処理を実行される原因になります。問題はNoMachineのnxwebrunnerという部分にあると告知の題名に示されています。
攻撃の流れ
-
1
到達可能な状態
攻撃者が、NoMachineの該当機能を動かしている機器にネットワーク経由で接続できる。
-
2
不正なデータ送信
認証を経ずに、nxwebrunnerが処理する想定外のデータを送りつける。
-
3
メモリ破壊
ヒープ領域でバッファオーバーフローが起き、メモリの内容が壊される。
-
4
コード実行
攻撃者が任意のコードを実行できる状態になるおそれがある。
-
5
被害の拡大
乗っ取った機器を足がかりに、情報の持ち出しや社内の他の機器への侵入に進む可能性がある。
どう悪用されるか
ZDIによると、攻撃に認証は不要で、遠隔から実行できます。攻撃者がNoMachineの該当機能にネットワーク上で到達できることが前提になると考えられます。利用者が何かを開いたりクリックしたりする必要があるかどうかは、公表されている情報からは分かりません。
悪用された場合は、対象の機器で攻撃者が任意のコードを実行できるおそれがあります。実行される権限の範囲や、実際の被害の程度は公表されていません。リモートアクセス用の機器は社内の重要なサーバーや業務端末につながっていることが多く、乗っ取られると他の機器への侵入に使われる可能性があります。なお、実際の攻撃で悪用されたという情報や、攻撃コードが出回っているという情報は、現時点で明らかになっていません。
今すぐやること
-
1
NoMachineの利用箇所を洗い出す
サーバー、仮想マシン、クラウド上の環境、各部署が個別に入れたPCを含め、NoMachineが入っている機器と版を一覧にします。
-
2
外部からの到達可否を確認する
NoMachineを動かしている機器が、インターネットや信頼できないネットワークから接続できないか、ファイアウォールやセキュリティグループの設定を見直します。不要な公開は今のうちに閉じてください。
-
3
ベンダーの告知で修正情報を確認する
NoMachineの公式サイトの告知と、ZDI-26-786の告知を確認し、影響を受ける版と修正版を把握します。
-
4
修正版が出たら優先して適用する
外部から到達できる環境から順に更新します。更新後は版を確認し、接続できることまで動作を確かめてください。
-
5
不審な兆候がないか確認する
公開されていた期間がある環境では、NoMachineの異常終了や再起動、身に覚えのない接続元、普段見ない子プロセスの起動がないか、ログと監視ツールで確認します。
すぐ更新できないとき
修正版を適用できるまでの間は、NoMachineを動かしている機器への接続を、VPNや許可した接続元のIPアドレスに限定してください。利用していない機器ではNoMachineのサービスを停止するか、アンインストールすることも有効です。ただし、これらがこの脆弱性に対して十分かどうかはベンダーから示されていないため、公式の回避策が出ていないかも合わせて確認してください。
背景
NoMachineは、離れた場所のコンピューターの画面を操作するためのリモートデスクトップ製品です。在宅勤務、保守作業、クラウド上のサーバー操作などに使われ、社内の重要な機器と外部をつなぐ入り口の役割を持つことがあります。この種の製品は外部から接続できる設計のため、弱点が見つかると、攻撃者にとって侵入の入り口として狙いやすい対象になります。
バッファオーバーフローは、C/C++などメモリを直接扱う言語で作られた製品で、昔から繰り返し見つかってきた種類の弱点です。ネットワーク越しに受け取ったデータを処理する部分で起きると、認証前に攻撃される形になりやすく、リモートアクセス製品や境界にある機器では特に警戒されてきました。
よくある質問
Q.すでに攻撃は始まっていますか。
Q.自社のNoMachineが影響を受けるかどうか、版だけで判断できますか。
Q.VPNの内側でしか使っていない場合も対応が必要ですか。
まだ分かっていないこと
- 影響を受けるNoMachineの版の範囲と、修正版の版番号は公表されていません。
- nxwebrunnerがどの機能で、どの構成で有効になっているかは、公表されている情報からは分かりません。
- 実際の攻撃での悪用の有無と、攻撃コードの公開状況は、現時点で明らかになっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
This vulnerability allows remote attackers to execute arbitrary code on affected installations of NoMachine. Authentication is not required to exploit this vulnerability. The ZDI has assigned a CVSS rating of 9.8. The following CVEs are assigned: CVE-2026-114549.
(Zero Day Initiative Published Advisories: ZDI-26-786: NoMachine nxwebrunner Heap-based Buffer Overflow Remote Code Execution Vulnerability)
出典: Zero Day Initiative Published Advisories NVD