Secure Access 14.60に不正アカウントを作られる脆弱性
Absolute SecurityのSecure Access serverの14.60に、管理者の操作を介して攻撃者のアカウントが作られるCSRFの脆弱性が公表されました。該当版を使う組織は、ベンダーの告知で修正版を確認して適用し、管理画面へのアクセス元を絞ってください。
急ぎ度: 早めに
CVSS v4は9.4で、認証なしの攻撃者が管理者の操作を足がかりに自分のアカウントを作れますが、公表は2026年11月2日で、実際の悪用についての情報はまだ見当たりません。
関係があるか
Absolute SecurityのSecure Access serverの14.60を自社で運用している組織が対象です。管理画面に管理者がブラウザーでログインして使う構成なら、社内向けでもインターネットに公開していても当てはまります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Absolute Security Secure Access server | 14.60 | 修正版の版番号はベンダーの告知で確認してください |
確かめ方
- 1Secure Access serverの管理画面か、導入時の資料で、稼働中の版が14.60かどうかを確認します。
- 214.60以外の版を使っている場合も、影響の有無をベンダーの告知で確認します。
- 3管理画面にどこからアクセスできるかを洗い出します。インターネットから到達できるか、社内ネットワークだけかで、対応の急ぎ方が変わります。
- 4クラウドで提供されている版を使っている場合は、運用元が対応済みかどうかもベンダーの告知で確認します。
何が起きたか
Secure Access serverの14.60に、クロスサイトリクエストフォージェリ（CSRF）の脆弱性が見つかりました。悪用されると、攻撃者の管理下にあるアカウントを、管理者の手で作らせてしまいます。
CSRFは、ログイン中の管理者のブラウザーに、本人が意図していない操作の要求を送らせる種類の脆弱性です。ふつうはトークンの確認などの防御が働きますが、この脆弱性では、その防御を回避できる状態になっていると説明されています。
CVE-2026-97718として2026年11月2日に公表され、重要度はcritical、CVSS v4は9.4です。
攻撃の流れ
-
1
罠の用意
攻撃者が、管理者に開かせるための仕掛けを用意します。
-
2
管理者が閲覧
管理画面にログインしている管理者が、その仕掛けに触れます。
-
3
防御の回避
本来要求を拒むはずの確認が働かず、操作が通ってしまいます。
-
4
アカウント作成
攻撃者の管理下にあるアカウントが、管理者の権限で作られます。
どう悪用されるか
攻撃者は事前の認証を必要とせず、ネットワーク越しに仕掛けられます。ただし、管理者が何らかの操作をすることが前提です。CVSSの評価では、利用者の関与は受動的なものとされています。
悪用が成立すると、攻撃者の管理下にあるアカウントが作られます。そのアカウントの権限の範囲までは分かっていませんが、CVSS v4の評価では、機密性・完全性・可用性のすべてに高い影響があり、接続先のシステムへの波及も高いとされています。VPNやリモートアクセスの入口で自由に使えるアカウントを持たれると、社内ネットワークへの足がかりになりかねません。
今すぐやること
-
1
稼働中の版を確認する
Secure Access serverが14.60かどうかを、管理画面か運用台帳で確認します。複数の拠点やテスト環境にサーバーがある場合は、すべて洗い出します。
-
2
ベンダーの告知で修正版を確認して更新する
Absolute Securityのセキュリティ情報で、CVE-2026-97718の修正版や、対応の案内を確認します。修正版が出ていれば、検証を済ませたうえで、本番を優先して更新します。
-
3
管理画面へのアクセス元を絞る
更新までのあいだ、管理画面に届く通信を社内ネットワークや管理用の端末に限ります。インターネットに公開している場合は、先に閉じるのが効果的です。
-
4
不審なアカウントがないか調べる
ユーザー一覧と管理操作のログを確認し、身に覚えのないアカウントや、最近作られた見慣れないアカウントがないかを調べます。見つかった場合は無効にし、そのアカウントの利用履歴を追います。
-
5
管理者に注意を周知する
管理画面にログインしたまま、メールのリンクや外部サイトを開かないよう、管理者に伝えます。
修正版がないあいだのつなぎ
修正版をすぐ適用できないときは、管理画面へのアクセスを社内ネットワークやVPN経由の管理用端末に限ります。管理作業用のブラウザーを普段使いと分け、作業が終わったらログアウトする運用も、リスクを下げるつなぎになります。ベンダーが個別の回避策を案内している場合は、そちらを優先してください。
背景
Secure Accessは、社外から社内システムに安全につなぐ入口にあたる製品です。管理画面では、接続を許可するアカウントやポリシーを扱います。そのため、管理者のアカウントを悪用されたり、新しいアカウントを紛れ込まされたりすると、入口そのものが相手に開かれてしまいます。
CSRFは古くから知られた種類で、多くの製品は、要求ごとに一意のトークンを確認して防いでいます。今回の件は、その防御が回避されると説明されている点が特徴です。画面操作を装った要求で管理者に代わってアカウントを作らせる、という流れのため、パスワードが漏れていなくても起こりえます。
よくある質問
Q.14.60より前や後の版は影響を受けませんか。
Q.管理者がログアウトしていれば安全ですか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
CVE-2026-97718 Is a cross-site request forgery vulnerability
in version 14.60 of the Secure Access server. Because of a bypassed security control, an
attacker can cause an admin to create an account under their control.
出典: CVE.org (CVE Program・cvelistV5) NVD
参照URL
- web absolute.com