Secure Accessサーバーに認証回避の脆弱性、修正版あり
Secure Accessのサーバーに、認証なしでクライアントのセキュリティ設定を書き換えられる脆弱性が公表されました。該当する版を使う組織は、修正版への更新と、設定に不審な変更がないかの確認を進めてください。
急ぎ度: 早めに
CVSS v4は9.3で、認証もユーザー操作も不要なネットワーク経由の攻撃が想定されており、修正版14.61がすでに公開されているためです。
関係があるか
Secure Accessのサーバーを自社で運用し、従業員の端末にクライアントを配っている組織が対象です。サーバーにネットワークから届く環境ほど影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Secure Access（Absolute Security）のサーバー | 13.0以上、14.61未満 | 14.61 |
確かめ方
- 1Secure Accessサーバーの管理画面や製品情報で、稼働中の版を確認します。13.0以上14.61未満なら該当します。
- 2サーバーが複数台ある、検証用と本番用で分かれているなど、台数が多い場合は、すべてのサーバーの版を台帳と突き合わせます。
- 313.0より前の版を使っている場合の扱いや、クラウドで提供される形態の扱いは、ベンダーの告知で確認します。
何が起きたか
Secure Accessのサーバーに、認証を回避できる脆弱性が見つかりました。攻撃者は、サーバーを経由して、配布先クライアントのセキュリティ設定を変更できます。
ベンダーのAbsolute Securityが2026年11月2日に公表し、同時に修正版を出しています。
狙われるのは、利用者を守るために設けた設定そのものです。設定が書き換えられると、端末は防御が緩んだ状態でも普段どおりに動くため、利用者も管理者も気づきにくくなります。
攻撃の流れ
-
1
サーバーに到達
攻撃者がネットワーク経由でSecure Accessサーバーに接続します。
-
2
認証を回避
ログインの手続きを経ずに、サーバーの機能を使える状態になります。
-
3
設定を変更
サーバーを通じて、クライアントのセキュリティ設定を書き換えます。
-
4
端末の防御が低下
設定を変えられた端末は、守りが弱まった状態で動き続けます。
どう悪用されるか
CVSS v4のベクターでは、攻撃元はネットワーク上の離れた場所で、特別な条件や事前の権限は要りません。利用者の操作も不要です。サーバーに通信が届けば、認証を経ずに試せる性質の脆弱性です。
被害として高く評価されているのは完全性、つまり改ざんです。サーバー自体に保存された情報を読まれる影響は低いとされています。一方、サーバーの先にいるクライアントなど後続のシステムは、機密性と完全性の両方で高い影響が想定されています。設定を書き換えられた端末が、社内の別の仕組みへの足がかりになる場合を考えておく必要があります。
今すぐやること
-
1
稼働中の版を洗い出す
本番・検証を含め、Secure Accessサーバーの版を確認します。13.0以上14.61未満が更新の対象です。
-
2
修正版14.61に更新する
メンテナンス時間を確保して更新します。更新前に設定とデータのバックアップを取り、更新後は版が14.61になったことと、クライアントが正常に接続できることを確かめます。
-
3
クライアント設定の変更履歴を見直す
公表の前から攻撃を受けていた可能性もあるため、更新後に、クライアントのセキュリティ設定に心当たりのない変更がないかを確認します。サーバーの管理ログや、設定の配布記録も合わせて見ます。
-
4
ベンダーの告知を確認する
Absolute Securityのセキュリティ情報で、回避策、対象となる提供形態、クライアント側で必要な作業を確認します。
すぐ更新できないとき
更新の日程がすぐに決まらない場合は、ベンダーの告知で回避策の有無を確認してください。そのうえで、サーバーへ接続できる送信元を業務上必要な範囲に絞り、クライアント設定の変更記録を毎日見るようにします。これは更新までのつなぎであり、脆弱性そのものはなくなりません。
背景
Secure Accessは、社外の端末から社内のシステムへ安全につなぐためのリモートアクセス製品です。サーバーが、各端末に入れたクライアントの接続方法やセキュリティの設定を管理して配る役目を担います。数百台、数千台の端末の設定を一か所で決められるのが利点ですが、サーバーを乗っ取られると、その配下の端末すべての守りを一度に弱められてしまいます。
今回の脆弱性は、まさにこの管理の中心に当たる認証の部分で起きています。端末を一台ずつ攻撃する手間をかけずに、設定の集中管理という仕組みそのものを悪用できる点が、管理サーバーの脆弱性に特有の厄介さです。
よくある質問
Q.サーバーの情報が盗まれるおそれはありますか。
Q.13.0より前の版を使っている場合は安全ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| Absolute Security | Secure Access |
13.0 以上 14.61 未満 |
14.61 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
CVE-2026-116769 is an authentication bypass
vulnerability in Secure Access servers starting with version 13.0 and prior to
14.61. Attackers can modify security settings of a client via the server.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web absolute.com
- web nvd.nist.gov
- web github.com