Futurum Softwareに顧客情報が読まれる脆弱性、修正版あり
Futurum Softwareの管理ソフトにあるUser Authentication Moduleに、データベースの内容が外部から読み出されるおそれのある脆弱性が見つかりました。顧客向けの専用領域を公開している組織は、May 2026より前の版かどうかを確認し、該当すれば修正版に更新します。
急ぎ度: 早めに
CVSS v4が9.1のcriticalで、個人情報を含む顧客情報の漏えいにつながり、修正版も出ているため、早めに更新したい案件です。
関係があるか
Futurum Softwareの管理ソフトを使い、顧客向けの専用領域（private area）をインターネットに公開している組織が対象です。自社で導入していなくても、委託先や取引先が顧客データを預かる形で使っている場合は影響を受けます。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| Futurum Software User Authentication Module | May 2026より前の版 | May 2026 |
確かめ方
- 1Futurum Softwareの管理ソフトを自社または委託先が使っているか、資産台帳や契約一覧で確認します。
- 2User Authentication Moduleの版またはリリース時期を管理画面やベンダーの納品物で調べ、May 2026より前かどうかを見ます。
- 3private areaがインターネットから到達できる構成か、ネットワーク担当に確認します。
- 4前段にWAFを置いている場合は、そのルールと設定をベンダーまたは構築した事業者に確認します。
何が起きたか
Futurum Softwareの管理ソフトのUser Authentication Moduleに、外部の第三者がデータベースに任意の問い合わせを実行できてしまう脆弱性が見つかりました。結果として、データベースの構造全体と、個人情報（PII）を含む顧客情報が読み出されるおそれがあります。
種類はブラインドSQLインジェクションで、CWEの分類はCWE-89です。private areaのデータベースへ問い合わせる処理で、利用者の入力に対する検証と無害化が足りていません。加えてWAFの設定にも誤りがあり、本来なら入力を止める防御がすり抜けられる状態でした。
公表日は2026年10月28日で、May 2026より前の版が影響を受け、May 2026で修正されています。
攻撃の流れ
-
1
外部から到達
インターネットなどのネットワーク経由で、private areaの入口に届く状態にあります。
-
2
細工した要求
加工されたHTTPリクエストが、認証モジュールのデータベース問い合わせ処理に渡ります。
-
3
防御をすり抜け
入力の検証不足とWAFの設定不備が重なり、保護の仕組みが働きません。
-
4
任意の問い合わせ
データベースに対して、攻撃者が選んだ問い合わせが実行されます。
-
5
顧客情報の流出
データベースの構造や、個人情報を含む顧客データが読み出されます。
どう悪用されるか
ログインなどの認証は要りません。ネットワーク経由で細工したHTTPリクエストを送るだけで成立し、利用者に何かを操作させる必要もありません。CVSSのベクトルでは、攻撃の成立に環境側の条件が必要とされています。本件ではWAFの設定不備がそれに当たるとみられます。
被害の中心は機密性です。評価は、データベースの内容と、その外側にある連携先の機密性に対して高く、データの書き換えやサービス停止の評価は低めです。顧客の氏名や連絡先といった個人情報が含まれていれば、漏えいの報告や本人への通知まで視野に入る事態になります。
今すぐやること
-
1
利用の有無と版を確認する
自社と委託先でFuturum Softwareの管理ソフトを使っているかを洗い出し、User Authentication Moduleの版がMay 2026より前かどうかを確認します。
-
2
修正版に更新する
該当する環境は、May 2026以降の修正版に更新します。自社で更新できない構成なら、保守を担当するベンダーに更新日程を確認します。
-
3
WAFの設定を見直す
今回の脆弱性ではWAFの設定不備が原因の一つとされています。更新と並行して、ルールの内容と適用範囲をベンダーまたは構築事業者と見直します。
-
4
過去のログを調べる
private areaへのリクエストとデータベースのログに、不自然に長い入力や、エラーの急増、見慣れない問い合わせがないかを確認します。
-
5
疑わしい痕跡があれば手順に乗せる
漏えいの疑いが出たら、社内のインシデント対応と、個人情報の漏えいを報告する手順に進めます。
すぐ更新できないとき
すぐに更新できない場合は、private areaへのアクセスを社内ネットワークやVPN、取引先のIPアドレスに限定し、インターネットに直接公開しない構成にします。あわせて、WAFの設定をベンダーと見直し、不審なリクエストを記録して監視します。ただし、いずれも暫定策で、根本の対処は修正版への更新です。
背景
User Authentication Moduleは、顧客向けの専用領域（private area）で利用者を識別する役割を持つ部品です。ログイン周りは外部からの入力を最初に受け取り、そのまま顧客データを持つデータベースへの問い合わせにつながります。この部分に入力の検証の抜けがあると、認証の手前の段階で、データベースの内容に手が届くことになります。
SQLインジェクションは、入力値を問い合わせ文の一部として扱ってしまうことで起きる、古くから知られた型です。ブラインド型は、画面に結果が直接出なくても、応答の違いなどからデータベースの情報を少しずつ読み取れる点が特徴です。根本的な対策は、アプリケーション側で入力を正しく扱うことです。今回はそれに加えて、前段のWAFが設定の誤りで防御として働かなかった点が、被害を広げる条件になりました。
よくある質問
Q.自社では導入していませんが、委託先が使っている場合はどうすればよいですか。
Q.版の表示がMay 2026のような時期表記で、どの版か判断できません。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは、現時点で公表されていません。
- May 2026という修正版の具体的な版番号や配布方法、日本国内での利用状況は分かっていません。最新の内容は、INCIBE-CERTの告知とFuturum Softwareからの案内で確認してください。
- ベンダーが公式の回避策を示しているかどうかは、公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Futurum Software | Futurum Software User Authentication Module |
May 2026 未満 |
May 2026 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A Blind SQL Injection vulnerability in Futurum Software’s management software, caused by a lack of adequate validation and sanitisation of user-provided inputs in queries to the private area’s database, as well as by an incorrect WAF configuration. This weakness allows the protection mechanisms to be bypassed solely by sending manipulated HTTP requests. Successful exploitation of the vulnerability could allow an unauthenticated attacker to execute arbitrary queries against the database, extract its complete structure and gain access to sensitive customer information, including personally identifiable information (PII).
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cve-coordination@incibe.es
- web nvd.nist.gov
- web github.com