Sophosは現地時間2026年10月28日、セキュリティゲートウェイ製品「Sophos UTM」に深刻な脆弱性があると公表した。同製品はすでにサポートを終了しているが、同社は修正パッチを用意し、メール保護機能の利用者に速やかな適用を求めている。
脆弱性は、ファイルのパスを不正に操作するパストラバーサルに関するもので、識別番号は「CVE-2026-118633」。外部のセキュリティ研究者が、同社のバグバウンティプログラムを通じて報告したという。
メールプロキシを使用し、スキャン機能を有効にしている環境が影響を受ける。数分間にわたって攻撃を繰り返し、処理の競合状態を発生させることで、認証なしに「root」権限で任意のコマンドを実行できる。
共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.2」で、重要度は4段階のうち最も高い「クリティカル」と評価された。全バージョンが影響を受ける。
修正パッチは自動更新では配信されず、利用者が手動で導入する必要がある。同社は、サポートが提供されている「Sophos Firewall」への移行も呼びかけている。
MARBLEの対応例：この件の場合
Sophos UTMの利用と、メールプロキシのスキャン機能が有効かをまず確かめます。
- Sophos UTMを利用しているかを確かめる
- メールプロキシとスキャン機能が有効かを導入した会社に確かめる
- 自動配信されない修正パッチの手動適用を導入した会社に相談する
- サポートが続くSophos Firewallへの移行を導入した会社に相談する
関係するサービス
※金額は一例です。システムの構成や規模、作業の範囲によって変わります。
出典
Security NEXT「「Sophos UTM」に深刻なRCE脆弱性 - EOLで手動パッチ必要」（2026年10月29日）
この記事は、上の出典をもとに当社がまとめ直したものです（生成AIで下書きし、担当者が確認しています）。詳しい内容や最新の状況は、出典をご確認ください。
