Session Smart ConductorにCVE-2026-103406——修正版へ更新を

CVE-2026-103406とは――未認証でroot権限を奪われるSession Smart Conductorの脆弱性

2026年10月28日、Juniper NetworksはSession Smart ConductorにOSコマンドインジェクションの脆弱性（CVE-2026-103406）が存在することをCVE Programを通じて公開した（出典：CVE Program — cve.org）。CVSSスコアは9.8（CRITICAL）であり、ネットワーク上から認証なしで悪用できる。

脆弱性の所在はSession Smart ConductorのAutomatedProvisionerコンポーネントにある。OSコマンドで使用される特殊要素の不適切な無害化に関する脆弱性であり（CWE-78: Improper Neutralization of Special Elements used in an OS Command）、攻撃者は特別に作成されたsalt minion IDを介して、リモートからrootとして任意のコマンドを実行できる。

CVSSベクターはAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hと評価されており（評価者：Juniper Networks / CNA）、機密性・完全性・可用性のすべてに高い影響が及ぶとされている。

ルーター製品も同じように影響を受けるかは、Session Smart Routerで説明しています。

関連記事Citrix NetScalerの対象版は？

Session Smart Conductor 脆弱性CVE-2026-103406――影響を受けるバージョン一覧

CVE公式記録（cve.org）に基づき、影響を受けるバージョン範囲は以下のとおりである。なお、CVE公式記録では既定の状態は「unaffected」と記録されている。

マイナー系列	影響を受けるバージョン範囲	修正バージョンの目安
7.0.x系	7.0.5未満（〜7.0.4以下）	7.0.5以上（※ベンダー告知で確認のこと）
7.1.x系	7.1.7未満（7.1.0〜7.1.6以下）	7.1.7以上（※ベンダー告知で確認のこと）
7.2.x系	7.2.3未満（7.2.0〜7.2.2以下）	7.2.3以上（※ベンダー告知で確認のこと）

修正バージョンはベンダーの公式告知を必ず参照して確認すること。修正版・回避策の詳細はJuniper Networksの公式告知を参照すること。

CVE-2026-103406が日本の企業・運用担当者にとって意味すること

Session Smart Conductorは、SD-WANや分散拠点のネットワークオーケストレーションを担うJuniper Networksの製品である。この脆弱性の深刻さは、認証が不要である点に集約される。

CVE-2026-103406では認証ステップが存在しない。CVSSのPR:N（権限不要）・UI:N（ユーザー操作不要）という評価がこれを裏付けている。

EPSS（悪用可能性の統計的推定スコア）は2026年11月1日時点で0.00516（パーセンタイル0.44）と報告されている（FIRST EPSS）。EPSSは確率の推定値であり「悪用される」と断定するものではない。また、2026年11月2日時点でCISAの既知悪用脆弱性カタログ（KEV）への掲載は確認されていない。

Session Smart Conductor CVE-2026-103406――今やること

現時点で取るべき行動は以下の点に絞られる。

1. 修正バージョンへの更新：影響を受ける版（7.0.5未満・7.1.7未満・7.2.3未満）を利用している場合は、Juniper Networksの公式告知に記載された修正バージョンへ更新する。
2. 公式回避策の確認：即時の更新が困難な場合は、ベンダーの公式告知に示された回避策を参照すること。公式の回避策の有無は、ベンダーの公式告知で確認すること。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE Program — CVE-2026-103406 公式記録: https://www.cve.org/CVERecord?id=CVE-2026-103406
• NVD (National Vulnerability Database) — CVE-2026-103406: https://nvd.nist.gov/vuln/detail/CVE-2026-103406