AuthPoint Gatewayの脆弱性3件、修正版7.6.0あり
WatchGuardのAuthPoint Gatewayに、認証サービスの停止や通信の改ざんにつながる脆弱性が3件公表されました。7.6.0より前の版を使う組織は、修正版の7.6.0へ更新し、ホストへの接続元も絞ってください。
同じ発表の脆弱性 3 件
- CVE-2026-121639 重大 9.2
- CVE-2026-121638 重大 9.1
- CVE-2026-121640 重大 9.1
急ぎ度: 早めに
認証なしで届く脆弱性を含む3件がCVSS v4で9.1〜9.2のcriticalですが、修正版7.6.0がすでに出ています。
関係があるか
WatchGuardのAuthPoint Gatewayを社内に置き、VPNやディレクトリ連携の多要素認証に使っている組織が対象です。3件とも同じ版が影響を受けます。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| WatchGuard AuthPoint Authentication Gateway | 1.0以上、7.6.0未満 | 7.6.0 |
確かめ方
- 1AuthPoint Gatewayを導入しているサーバーを洗い出し、導入されている版が7.6.0より前かを確認します。
- 2台帳や構成管理に載っていない検証用・拠点用のGatewayがないか、ネットワーク担当にも聞いておくと漏れを防げます。
- 3Gatewayのホストにどのネットワークから届くかを確認し、インターネットや広い社内セグメントに開いていないかを見ます。
何が起きたか
WatchGuardは2026年11月4日、AuthPoint Authentication Gatewayの脆弱性3件を公表しました。いずれもGatewayの認証と通信の保護に関わる不備で、悪用されると認証サービスが止まったり、Gatewayと認証プロバイダーの通信が盗み見られ、書き換えられたりするおそれがあります。
- CVE-2026-121639: 重要な機能に認証がなく、認証サービスの妨害と、ローカルのディレクトリ同期設定の削除が起こり得る（CVSS v4は9.2）
- CVE-2026-121638: 証明書の検証が不適切で、Gatewayとローカルの認証プロバイダーの通信が傍受・改ざんされ得る（CVSS v4は9.1）
- CVE-2026-121640: 観測された正規の要求が再送され、認証サービスの妨害を含む管理操作が不正に実行され得る（CVSS v4は9.1）
3件とも認証基盤の可用性や信頼性に直結します。実際の悪用は公表の時点では確認されていないとみられ、至急ではなく早めの更新で足りるというのが筆者の見立てです。ただし多要素認証が止まると業務への影響が大きいため、週内には更新の段取りをつけておきたいところです。
攻撃の流れ
-
1
Gatewayに到達
攻撃者がAuthPoint Gatewayのホストへ届くネットワーク上の位置を得ます。
-
2
脆弱性を悪用
認証の欠如、証明書検証の不備、要求の再送のいずれかを突きます。
-
3
認証サービスに影響
認証サービスが止まり、ディレクトリ同期設定が削除されることがあります。
-
4
通信や管理操作に介入
認証プロバイダーとの通信が傍受・改ざんされたり、管理操作が不正に実行されたりします。
どう悪用されるか
悪用の条件は3件で異なります。
CVE-2026-121639は、認証なしで悪用できます。AuthPoint Gatewayのホストにネットワークで届く攻撃者が対象で、利用者の操作は要りません。被害は、認証サービスの妨害と、ローカルのディレクトリ同期設定の削除です。
CVE-2026-121638は、Gatewayとローカルの認証プロバイダーの通信経路上に攻撃者がいることが前提です。通信の傍受と改ざんにつながります。CVE-2026-121640は、Gatewayのコンポーネント間の正規の要求を攻撃者が観測できる場合に、それを再送して管理操作を不正に実行されるおそれがあります。認証サービスの妨害も含まれます。
つまり、1件目はホストに届くだけで足りる一方、残り2件は通信を見られる位置が必要です。そのため、まず確認したいのは、Gatewayのホストへ届く範囲と、通信経路の守りの2点です。
今すぐやること
-
1
導入版を確認する
AuthPoint Gatewayを置いている全サーバーで版を確認し、7.6.0より前のものを一覧にします。
-
2
修正版7.6.0へ更新する
3件とも7.6.0で修正されます。認証が一時的に途切れる可能性があるため、利用者への告知と作業時間帯を先に決め、冗長構成があれば順に更新します。
-
3
同期設定とログを見直す
更新の前後で、ローカルのディレクトリ同期設定が残っているか、認証が不自然に失敗した時間帯がないかを確認します。設定が消えていたら、侵害の可能性を含めて調べます。
-
4
ベンダーの告知を確認する
WatchGuardのPSIRTの告知で、各CVEの最新情報、回避策、更新手順の注意点を確認します。
すぐ更新できないとき
すぐに更新できないときは、AuthPoint Gatewayのホストに届くネットワークを、必要な接続元だけに限定します。インターネットや利用者用の広いセグメントからの到達を止め、Gatewayと認証プロバイダーの通信が通る経路も、信頼できるセグメントの中に収めてください。これはつなぎで、修正版の代わりにはなりません。公式の回避策はベンダーの告知で確認してください。
背景
AuthPoint Gatewayは、WatchGuardの多要素認証サービスAuthPointと、社内のディレクトリや認証の仕組みをつなぐ中継役のソフトウェアです。社内のサーバーに置かれ、ディレクトリとの同期や、ローカルの認証プロバイダーとのやり取りを受け持ちます。ここが止まると、多要素認証に頼るログインが通らなくなり、リモートアクセスなどの業務に響く可能性があります。
今回の3件はいずれも、この中継役が「誰とでも話してしまう」「通信が本物かを十分に確かめない」「一度見た要求をもう一度受け付けてしまう」といった、認証の入口の守りの不備です。認証基盤は利用者が気づかないところで動くため、版の管理が後回しになりやすく、導入時の担当者が異動して台帳から漏れていることもあります。
よくある質問
Q.社内ネットワークの奥に置いていれば、更新しなくてもよいですか。
Q.WatchGuardのクラウド側のサービスや、ほかの製品も更新が必要ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| WatchGuard | AuthPoint Authentication Gateway |
1.0 以上 7.6.0 未満 |
7.6.0 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A Missing Authentication for Critical Function vulnerability in WatchGuard AuthPoint Gateway allows a remote unauthenticated attacker with network access to the AuthPoint Gateway host to disrupt authentication services and delete the local directory synchronization configuration.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt.watchguard.com
- web nvd.nist.gov
- web github.com