AhsayCBSにCVE-2026-105134——悪用確認、ホットフィックス適用を

公開日：2026年10月30日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2026-105134とは——AhsayCBSで何が起きているか

2026年10月4日、Ahsayのバックアップサーバーソフトウェア「AhsayCBS」において、OSコマンドインジェクション脆弱性（CVE-2026-105134）が公開された。（出典：CVE-2026-105134 — cve.org）

CVE-2026-105134の深刻度はCVSS 4.0で10.0（CRITICAL）、CVSS 3.1でも10.0（CRITICAL）と評価されている（評価者：VulDB）。攻撃はネットワーク越しにリモートから実行可能で、認証なし・ユーザー操作なしで成立する。影響を受けるコンポーネントはReplication ReceiverのAPIエンドポイント（/rps/api/json/UpdateReceivers.do）であり、引数randomの操作によってOSコマンドが注入される。

注意が必要なのは、当初リリースされた修正版（v9.15.2.59およびv10.3.4.0）がこの脆弱性を完全には修正していなかった点だ。CVE-2026-105134の記録は2026年10月26日に更新されており、改めて最新のホットフィックスの適用が必要となっている。（出典：Ahsay公式告知）

米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年10月14日、CVE-2026-105134をKEV（Known Exploited Vulnerabilities Catalog）に追加した。KEVへの掲載は「実際の悪用が確認された」ことを意味する。エクスプロイトコードも既に公開されているとCVE公式記録に記載されている。（出典：CISA KEV Catalog）

関連記事テキストマイニングのやり方とツールは？／ GANの仕組みと活用事例は？

影響を受けるバージョンと修正バージョン

CVE-2026-105134は、AhsayCBS v9.15.2.69以下およびv10.3.4.44以下が影響を受ける。CVE公式記録にはv9.15.2.0からv9.15.2.69に至る多数のバージョンが列挙されており、以下の比較表で自社環境の該当有無を確認してほしい。

系統	影響を受けるバージョン（上限）	修正ホットフィックス
v10系	v10.3.4.44以下	v10.3.4.45
v9系（v7・v8を含む）	v9.15.2.69以下	v9.15.2.70
v9.15.2.59・v10.3.4.0（当初パッチ適用済）	この脆弱性を完全には修正していない	改めてv9.15.2.70またはv10.3.4.45を適用

ホットフィックスの入手にはAhsayパートナーポータルへのログインが必要である。ポータルアカウントを持たない場合は、Ahsayの販売代理店またはサポート窓口への確認が求められる。（出典：Ahsay公式告知）

v7系・v8系も対象に含まれる点は見落としやすい。古いメジャーバージョンを継続稼働させている環境では、バージョン番号を改めて確認する必要がある。

自社が対象か判断がつかない場合は、お使いの製品と版の情報をお送りいただければ、公式情報をもとに対象かどうかの目安をお伝えします（無料相談）。

次に読む：ディープラーニングと機械学習の違いは？

ディープラーニング（深層学習）とは何か？機械学習との違い等をわかりやすく解説します！

悪用の可能性の推定と、同じ製品の別の脆弱性

EPSS（悪用確率の統計的推定値）はCVE-2026-105134が0.8176（パーセンタイル0.9964）となっている（2026年10月29日時点）。EPSSは確率の統計的推定であり「悪用される」と断定するものではない。（出典：FIRST EPSS）

同じ日に公開され、同じくCISAのKEVに追加されたAhsayCBSの認証不備の脆弱性は、別の記事で解説している。CISAは、この2件を連鎖させて悪用できる可能性があると記載している。修正のホットフィックスは共通で、下の「対処と期限」のとおり。

対処と期限

修正版へ更新する：v10系はv10.3.4.45、v7・v8・v9系はv9.15.2.70のホットフィックスを適用し、適用後にサーバーを再起動する（入手にはAhsayパートナーポータルのログインが必要）。v9.15.2.59・v10.3.4.0を適用済みの場合も再適用が必要。Ahsay公式告知
公式の回避策：Ahsayの告知にホットフィックス以外の回避策は示されていない。詳細は公式告知を参照。
CISAの対処期限：2026年10月17日（米連邦機関向けで、日本企業への法的義務ではない）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

参考文献