Session Smart RouterにCVE-2026-103409——修正版へ更新を

CVE-2026-103409 とは——CVSS 9.8、認証欠落で管理者権限が奪取される

2026年10月28日、Juniper Networks は Session Smart Router（以下 SSR）に関する脆弱性情報を公開した（CVE識別子: CVE-2026-103409、公式告知: JSA112183）。CWE分類は CWE-306「重要機能における認証の欠落（Missing authentication for critical function）」であり、CVSS 3.1 スコアは 9.8（CRITICAL） と評価されている（評価者: Juniper Networks、出典: cve.org）。

スコアの内訳は、ネットワーク経由（AV:N）・攻撃複雑度低（AC:L）・権限不要（PR:N）・利用者操作不要（UI:N）・機密性高（C:H）・完全性高（I:H）・可用性高（A:H）である（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。

この脆弱性の核心は、root 権限で動作する内部エンドポイントが認証なしにアクセス可能な状態にある点である。攻撃者は不正な URL パラメータをそのエンドポイントへ渡すだけで管理者権限を取得できる。

オンボーディング後の機器も更新が必要になるかは、Session Smart Conductorで説明しています。

関連記事Citrix NetScalerの対象版は？

Session Smart Router 脆弱性 CVE-2026-103409 の影響バージョンと悪用が成立する条件

CVE 公式記録（cve.org、採番元 CNA: Juniper Networks）が示す影響範囲は以下の通りである。

表1：CVE-2026-103409 の影響を受けるバージョン（出典: cve.org）

バージョン系列	影響を受ける範囲	対象外となる版
7.0.x	7.0.5 未満	7.0.5 以上
7.1.x	7.1.0〜7.1.7 未満	7.1.7 以上
7.2.x	7.2.0〜7.2.3 未満	7.2.3 以上

悪用が成立する条件として、この脆弱性は Mist または Conductor へのオンボーディングが完了する前の機器にのみ有効である。オンボーディング完了後は当該エンドポイントへの攻撃経路が閉じるため、問題は悪用できなくなる。

CVE-2026-103409 の公開状況と悪用の有無

Juniper Networks の Session Smart Router における CVE-2026-103409 は、CVSS 3.1 スコアが9.8（CRITICAL）と評価された脆弱性である（評価者: Juniper Networks）。

なお、2026年11月2日時点の CVE 公式記録（cve.org）では、CISA の既知悪用脆弱性カタログ（KEV）への掲載は確認されていない。したがって、現時点で実際に悪用されているとは言えない。

今やること——CVE-2026-103409 への対応要点

CVE 公式記録（cve.org）をもとに、運用担当者が取るべき行動を整理する。手順の詳細はいずれもベンダーの公式告知（JSA112183）を正とすること。

1. 上の表に示した影響を受ける版（7.0.5未満・7.1.0〜7.1.7未満・7.2.0〜7.2.3未満）を使用している場合は、ベンダーの告知（JSA112183）が示す修正版へ更新する。
2. 修正版が無い場合は、ベンダーの告知に従う。公式の回避策の有無も、ベンダーの告知で確認する。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

この脆弱性の限界と注意点

CVSS スコアは脆弱性の性質を標準化して評価したものであり、各組織の環境でのリスクの大きさを直接示すものではない。対象バージョンの機器を実際に運用しているかどうか、オンボーディング前の状態が生じうる運用フローかどうかという自社固有の条件のもとで判断する必要がある。

本記事は CVE 公式記録（cve.org）に基づく。修正版のバージョン番号・回避策の正式名称・悪用の確認状況については、ベンダーの公式告知（JSA112183）を正とすること。NVD の詳細ページ（nvd.nist.gov）も補完的な参照先として活用できる。

---

参考文献

• Juniper Networks 公式告知 JSA112183 — https://supportportal.juniper.net/JSA112183
• CVE 公式記録 CVE-2026-103409（cve.org） — https://www.cve.org/CVERecord?id=CVE-2026-103409
• NVD 詳細ページ CVE-2026-103409（nvd.nist.gov） — https://nvd.nist.gov/vuln/detail/CVE-2026-103409