AhsayCBS脆弱性CVE-2026-105133——KEV登録、修正版へ更新を

CVE-2026-105133とは——AhsayCBSで何が起きているか

2026年10月4日、Ahsay社のバックアップ製品「AhsayCBS（AhsayCloud Backup Suite）」に認証不備の脆弱性CVE-2026-105133が公開された。採番は脆弱性データベースVulDBがCNAとして行い、2026年10月26日に内容が更新されている（出典: CVE.org）。

この脆弱性は、APIコンポーネント内のファイルcom/ahsay/obs/api/ApiStructsAction.javaに含まれる関数checkSysPwdに起因する。引数randomを操作することで、本来必要な認証処理を不適切に回避できる状態が生じる。攻撃はリモートから開始可能であり、特別な権限やユーザーの操作を必要としない。

VulDBの評価では、CVSS 3.1で7.3（HIGH）、CVSS 4.0で6.9（MEDIUM）と記録されている。CVSSのスコアは評価者によって値が異なるため、複数の値を混同せず参照元を確認することが重要である。

重要な点として、当初リリースされたパッチ（v9.15.2.59およびv10.3.4.0）はCVE-2026-105133を完全には修正していなかった。後続の修正版が別途リリースされた経緯がある。

関連記事AIセキュリティ対策とは？企業が知るべきリスクと対策 ／ AIによる情報漏洩とは？原因・経路と企業の対策

AhsayCBS 脆弱性 CVE-2026-105133の影響を受けるバージョンと修正版

影響を受けるバージョンはAhsayCBS v9.15.2.69までおよびv10.3.4.44までである（出典: CVE.org）。

修正版は以下のとおりである。

• v7、v8、v9の対象バージョンを使用しているパートナー: AhsayCBS v9.15.2.70ホットフィックスを適用（パートナーポータルへのログインが必要）
• v10系を使用しているパートナー: AhsayCBS v10.3.4.45ホットフィックスを適用（パートナーポータルへのログインが必要）
• いずれの場合も、ホットフィックス適用後にサーバーの再起動が必要である

詳細はAhsay社の公式告知を参照されたい（出典: Ahsay公式告知）。

AhsayCBS 脆弱性 CVE-2026-105133がCISA KEVに登録された意味

2026年10月14日、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）はCVE-2026-105133を「既知悪用脆弱性カタログ（Known Exploited Vulnerabilities Catalog、KEV）」に追加した。対処期限は2026年10月17日とされた（出典: CISA KEV）。

KEVへの掲載は、脆弱性が実際に攻撃者によって悪用されていることを意味する。理論上のリスクではなく、現実の攻撃が確認された脆弱性として扱われる点が重要である。なお、CISAの期限は米国連邦政府機関向けの義務であり、日本企業に対して直接の法的拘束力はない。

悪用確率の統計的指標であるEPSS（Exploit Prediction Scoring System）では、2026年10月29日時点で0.7947（パーセンタイル: 0.99602）と記録されている（出典: FIRST EPSS）。EPSSはあくまで統計的な推定であり、特定の環境が攻撃されることを保証するものではない。

CISAが示した必要な対処の要旨は次のとおりである。ベンダーの指示に従ってリスクに基づくセキュリティ更新の優先付けを行い、BOD 26-04のガイダンスに準拠すること。クラウドサービスに関しては該当するBOD 26-04のガイダンスに従い、軽減策が適用できない場合は製品の使用を停止することも選択肢として示されている。

ランサムウェアへの利用については、CISAのカタログ上で「Unknown（不明）」と記録されている。ランサムウェアへの転用が確認されていないということではなく、現時点で確認情報がないという意味であり、断定的な評価はできない。

今やること——AhsayCBS 脆弱性 CVE-2026-105133への対応3点

現時点で運用担当者がとるべき対応を3点に絞る。

1. 修正版への更新を最優先で実施する
上記の対象バージョンを使用している場合は、v7、v8、v9の対象バージョンはAhsayCBS v9.15.2.70、v10の対象バージョンはAhsayCBS v10.3.4.45のホットフィックスをAhsayのパートナーポータルから入手して適用する。適用後はサーバーの再起動が必要である（出典: Ahsay公式告知）。なお、当初のパッチ（v9.15.2.59・v10.3.4.0）は本脆弱性を完全修正していなかった。

2. 更新の優先順位を引き上げる
CISA KEVへの登録は、実際の悪用が確認された脆弱性であることを意味する。CISAが示した対処として、ベンダー指示に従ったリスク基準のセキュリティ更新優先付けが求められている（出典: CISA KEV）。

3. 修正版が適用できない場合はベンダーの告知に従う
公式の代替回避策はベンダーの告知内容を参照する。CISAは軽減策が適用できない場合の製品使用停止も選択肢として示している。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

CVE-2026-105133 概要一覧

項目	内容
CVE番号	CVE-2026-105133
対象製品	Ahsay AhsayCBS（v9.15.2.69以前、v10.3.4.44以前）
脆弱性の種類	認証不備（CWE-287 Improper Authentication）
CVSSスコア	7.3（HIGH、CVSS 3.1／VulDB評価）
攻撃経路	リモートから可能。特権・ユーザー操作不要
CVE公開日	2026年10月4日
CISA KEV追加日	2026年10月14日
CISA KEV期限	2026年10月17日（米連邦機関向け）
修正版（v9系）	AhsayCBS v9.15.2.70（v7・v8を含む）
修正版（v10系）	AhsayCBS v10.3.4.45
パッチ入手方法	Ahsayパートナーポータル（ログイン要）
ランサムウェア悪用	Unknown（CISAカタログ記録）
EPSS（2026-10-29時点）	0.7947（パーセンタイル 0.99602）※統計的推定

エクスプロイトコードは現在公開されており、攻撃に使用される可能性がある状態である（出典: CVE.org）。実際の攻撃の手順や悪用者の詳細については確認できた情報がないため、これ以上の言及は行わない。

同じ製品の別の脆弱性

同じ日に公開され、同じくCISAのKEVに追加されたAhsayCBSのOSコマンドインジェクションの脆弱性は、別の記事で解説している。CISAは、この2件を連鎖させて悪用できる可能性があると記載している。修正のホットフィックスは共通。

---

参考文献

• CVE.org — CVE-2026-105133の公式記録（採番機関: VulDB）
  https://www.cve.org/CVERecord?id=CVE-2026-105133
• NVD（National Vulnerability Database）— CVE-2026-105133
  https://nvd.nist.gov/vuln/detail/CVE-2026-105133
• CISA — Known Exploited Vulnerabilities Catalog
  https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• Ahsay — 公式告知: パッチ適用情報
  https://www.ahsay.com/en/company/announcements/patch-cve-105133-105134-update