HCL BigFix AEXにリモートコード実行の脆弱性、CVSS 9.1
HCL BigFix AEXに、攻撃者が任意のコードを実行できるおそれのある脆弱性（CVE-2026-67074）が見つかりました。AEXを使っている組織は、ベンダーの告知で影響する版と修正版を確認し、あれば更新してください。悪用には高い権限が要るため、管理用アカウントの見直しもあわせて進めると安心です。
急ぎ度: 早めに
CVSS v3は9.1でネットワーク越しに悪用できますが、高い権限が前提で、実際に悪用されたという報告も伝わっていないため、至急ではなく早めの対応と見ています。
関係があるか
HCL BigFix AEXを社内やクラウド上で運用している組織が対象です。管理画面や管理用APIに、社内ネットワークやインターネットからつながる構成では、とくに優先して確認してください。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| HCL BigFix AEX | 影響する版はベンダーの告知（KB0134281）で確認してください | 修正版もベンダーの告知で確認してください |
確かめ方
- 1資産管理台帳や構成管理ツールで、HCL BigFix AEXを導入している環境を洗い出します。
- 2見つかった環境で、導入している版を管理画面やインストール情報から確認し、ベンダーの告知に載っている影響範囲と照らし合わせます。
- 3管理画面や管理用APIにつながるネットワークの範囲と、高い権限を持つアカウントの一覧もあわせて確認します。
何が起きたか
HCL BigFix AEXに、リモートコード実行の脆弱性（CVE-2026-67074）があります。悪用されると、攻撃者がAEXのアプリケーションやサービスと同じ権限で、任意のコードを実行できるおそれがあります。
HCL Softwareは2026年10月28日に告知を公開しました。CVSS v3は9.1で、深刻度は緊急に分類されています。
弱点の種類はCWE-78（OSコマンドインジェクション）とCWE-94（コードインジェクション）です。入力された内容が、OSコマンドやコードとして実行されてしまう型の問題とみられます。告知の原題には複数の脆弱性とありますが、ここで扱うのはリモートコード実行の1件です。
攻撃の流れ
-
1
高権限の入手
攻撃者がAEXの高い権限を持つアカウントを何らかの方法で手に入れます。
-
2
ネットワーク越しの接続
AEXにネットワーク経由でつながり、脆弱性のある機能に細工した入力を渡します。
-
3
任意コードの実行
入力がコードやOSコマンドとして実行され、AEXのサービスと同じ権限で動きます。
-
4
被害の波及
データの閲覧や改ざん、システムの停止、ほかの領域への侵入につながるおそれがあります。
どう悪用されるか
悪用にはネットワーク経由でAEXにつながれることと、高い権限を持つ認証済みのアカウントが必要です。操作の難しさは低く、利用者に何かをさせる必要もありません。
ただし、高い権限が前提なので、見知らぬ第三者がいきなり悪用できる種類のものではありません。管理者アカウントの資格情報が漏れた場合や、内部の関係者が悪意を持った場合に、被害が一気に広がる性質の脆弱性と考えられます。
成功すると、機密性・完全性・可用性のすべてに大きな影響が出ます。CVSSの評価では、影響がAEX本体の範囲を超えて及ぶ可能性（スコープの変更）も示されています。ベンダーの説明では、不正アクセス、データ露出、システム侵害につながるおそれがあるとされています。
今すぐやること
-
1
ベンダーの告知を読む
HCL SoftwareのKB0134281で、影響する版、修正版、案内されている対処を確認します。
-
2
AEXの導入状況を洗い出す
本番だけでなく、検証用や使われなくなった環境も含めて、AEXが動いている場所と版を一覧にします。
-
3
修正版に更新する
影響を受ける版を使っていれば、検証環境で動作を確かめたうえで、修正版に更新します。
-
4
高権限アカウントを見直す
使われていない管理者アカウントを無効にし、パスワードの変更と多要素認証の有無を確認します。
-
5
管理操作のログを確認する
身に覚えのない管理操作や、普段と違うアクセス元からのログインがないかを、公開日以降を中心に見ておきます。
すぐ更新できないとき
修正版をすぐに当てられないときは、AEXの管理画面や管理用APIへのアクセスを、管理用ネットワークや特定のIPアドレスに限ります。インターネットに公開している場合は、公開をやめるか、VPNの内側に置いてください。あわせて高権限アカウントを必要最小限にし、多要素認証を有効にします。ベンダーが公式の回避策を案内している場合は、そちらを優先してください。
背景
BigFixはHCL Softwareが提供する端末管理の製品群で、多数の端末へのソフトの配布や設定変更を一か所から行う用途で知られています。AEXもその名を冠した製品で、こうした管理系の製品では、管理側が侵害されると、その先につながる機器や情報にまで影響が広がりやすくなります。
今回の弱点の型であるCWE-78とCWE-94は、入力が命令として実行されてしまう点が共通しています。管理系の製品では、認証後に使える機能の中にこの型の問題が見つかることがあり、高い権限を前提としていても、権限の奪取と組み合わさると被害が大きくなります。
よくある質問
Q.高い権限が必要なら、急がなくてもよいのでしょうか。
まだ分かっていないこと
- 影響する版と修正版の具体的な番号は、ベンダーの告知（KB0134281）で確認する必要があります。
- 実際の攻撃で悪用されたかどうかは分かっていません。
- 脆弱性のある機能や、告知の原題にある複数の脆弱性のうち、ほかの件の詳細は分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| HCL Software | BigFix AEX | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
HCL BigFix AEX is affected by a Remote Code Execution Vulnerability . It may allow attackers to execute code with the privileges of the affected application or service, potentially leading to unauthorized access, data exposure, or system compromise.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt@hcl.com
- web nvd.nist.gov
- web github.com