サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）は11月9日、GPUStack、FreeSWITCH、OpenSSH、IBM Aspera Faspexに影響する、実際に悪用されている脆弱性4件を既知の悪用された脆弱性（KEV）カタログに追加した。
対象となる連邦政府の民間機関は、脆弱性の修正と必要なフォレンジック・トリアージの完了を11月12日までに行う必要がある。CISAによると、これらの脆弱性を悪用すると、攻撃者は認証を回避し、管理者アクセスを取得したり、影響を受けるシステム上でコマンドを実行したりできる。CISAの発表。
4件すべてで悪用が確認されているが、CISAは攻撃者を特定しておらず、影響を受けた組織数も明らかにしていない。管理者は脆弱なシステムを優先して対処し、不正アクセスがなかったか確認すべきだ。特に、攻撃者がパッチ適用後も有効なアカウントや認証情報を作成した可能性がある場合は注意が必要となる。
CISAのKEVカタログに追加された、悪用された脆弱性4件
GPUStack：CVE-2026-102895
GPUStack 2.2.0より前のバージョンには、認証情報なしでリモートの攻撃者に管理者アクセスを与える可能性がある、重大な認証バイパスの脆弱性が存在する。
GPUStackのアドバイザリーによると、同アプリケーションはリモートリクエストを誤って信頼済みのローカルトラフィックとして扱う可能性がある。攻撃者は、特定のリバースプロキシ設定を悪用したり、X-GPUStack-Real-IPヘッダーを操作したりできる。
悪用に成功すると、攻撃者は管理者APIキーの作成、AI推論バックエンドの変更、クラウド認証情報へのアクセス、ワーカーシステム上でのコマンド実行を行える。
ベンダーは、GPUStack 2.1.1のデプロイ環境に対する攻撃を記録しており、そこでは悪意のある推論バックエンドを使ってリバースシェルが起動された。
FreeSWITCH：CVE-2026-116779
FreeSWITCH 1.11.2以前には、SIP MESSAGEの処理に影響する重大なコマンドインジェクションの脆弱性が存在する。
SignalWireのアドバイザリーでは、細工されたメッセージがアプリケーション内部のAPIコマンドインターフェースに到達する可能性があると説明している。
影響を受けるプロファイルにSIP MESSAGEを送信できる攻撃者は、コマンドを実行したり、設定ファイルや認証情報にアクセスしたり、通話を操作したりできる。認証設定によっては、悪用にSIPアカウントへのアクセスが必要となる場合がある。
SignalWireは、実環境での悪用を確認している。この脆弱性のCVSSスコアは9.8で、FreeSWITCH 1.11.3で修正された。
OpenSSH：CVE-2026-123158
OpenSSHのこの脆弱性を悪用すると、Pluggable Authentication Modules（PAM）を使用しないmusl libcベースの特定のLinuxシステムで認証を回避できる可能性がある。
影響を受ける構成には、Alpine Linux環境が含まれる。この脆弱性は、すべてのOpenSSHインストールに影響するわけではない。
CISAのKEV登録情報は、実際に悪用されていることを確認している。この脆弱性については、eSecurity PlanetのAlpine LinuxにおけるSSH認証バイパスに関する最近の報告でも取り上げられている。
管理者は、影響の有無を判断する前に、Linuxディストリビューション、OpenSSHのバージョン、認証設定を確認すべきだ。
IBM Aspera Faspex：CVE-2026-123218
IBM Aspera Faspex 5.0.0から5.0.19には、攻撃者が完全な管理者権限を取得できる可能性がある、重大な認可バイパスの脆弱性が存在する。
IBMはこの脆弱性のCVSSを9.8と評価している。
IBMのセキュリティ速報では、認証済みユーザーが関与する攻撃について説明しているが、CVSSベクトルでは権限が不要と指定されている。この矛盾について、速報は説明していない。
IBMはFaspex 5.0.19 PL1でこの脆弱性を修正した。管理者は、デプロイ済みのfaspex-coreコンテナイメージも確認する必要がある。
CISAがKEVに追加したことで、この脆弱性が悪用されたことが確認された。
脆弱性を修正し、侵害を確認する方法
CISAが設定した11月12日の期限は、拘束的運用指令26-04の対象となる連邦政府の民間機関に適用される。民間組織は同じ期限に拘束されないが、4件すべての脆弱性が悪用されているため、修正を優先すべきだ。
管理者は、影響を受けたベンダーの指示に従い、侵害の可能性を調査すべきだ。
1. GPUStack：アップグレードして管理者アクセスを確認
- GPUStack 2.2.0以降にアップグレードする。
- パッチ適用まで有効化し、
force_auth_localhost=trueAPIアクセスを制限し、信頼できないクライアントがX-GPUStack-Real-IPヘッダーを提供できないようにする。 - 管理者アカウント、APIキー、推論バックエンド、ワーカー設定を確認する。
- 不正なAPIキーを無効化し、漏えいした可能性のあるクラウドまたはワーカーの認証情報を更新する。
GPUStackのアドバイザリーは、攻撃者が永続的な管理者キーを作成できることを確認している。ソフトウェアをアップグレードしても、これらの認証情報は自動的には無効化されない。
2. FreeSWITCH：パッチを適用してSIP設定を確認
- FreeSWITCH 1.11.3以降にアップグレードする。
- がSIPプロファイルで
enable-chat-api-proto明示的に必要な場合を除き、無効になっていることを確認する。 - 受信SIPチャットを
enable-chat=false機能が不要な場合は無効にする。 - SIP MESSAGEのトラフィック、設定変更、不審なプロセスの活動を確認する。
SignalWireは、MESSAGEの認証だけでは脆弱性を解消できないと警告している。管理者は、不要なアカウントも削除し、外部に公開されたSIPプロファイルを確認すべきだ。
3. OpenSSH：影響を受けるLinux構成を特定
- PAMを使用しないmusl libcベースのOpenSSHインストールを確認する。
- OSまたはディストリビューションの保守担当者が提供するセキュリティアップデートを適用する。
- インターネットに公開されたSSHサービスを優先する。
- 通常とは異なるログイン試行や予期しないログイン成功がないか、認証ログを確認する。
組織は、すべてのOpenSSHインストールを脆弱とみなすのではなく、自社システムが影響を受ける構成要件に該当するか確認すべきだ。
4. IBM Aspera Faspex：修正版リリースをインストール
- Faspex 5.0.19 PL1にアップグレードする。
- IBM Aspera Faspexの
faspex-coreコンテナがイメージバージョンを使用していることを確認する。5.0.19 (1ce4b13, Fix Pack: 1). - 管理者アカウント、権限の変更、不審なファイル転送活動を確認する。
- 不正な設定変更や、新たに作成された特権アカウントを調査する。
IBMはこの脆弱性の回避策を提示していないため、セキュリティアップデートの適用が必要な修正となる。
5. 証拠を保全し、修正を確認
CISAは、BOD 26-04に基づき、KEVに登録された4件についてフォレンジック・トリアージを要求している。管理者は関連するログとシステム証拠を保全し、影響を受けるすべてのインスタンスにアップデートがインストールされていることを確認したうえで、不正アクセスの兆候を調査すべきだ。
同様の調査手順は、最近のSonicWall SSLVPNの認証バイパスの後にも推奨された。CISAはこれを11月6日にKEVへ追加している。
インターネットに公開されたインフラについては、セキュリティチームはパッチが利用可能になる前の期間も確認すべきだ。以前のCitrix NetScalerの悪用では、管理者に対し、修正と並行してフォレンジック証拠を保全し、侵害を調査することが求められた。
FreeSWITCHの修正はKEVへの登録前に提供されていたが、GPUStackで記録された悪用には悪意のあるバックエンドの作成が含まれていた。脆弱なバージョンを実行しているシステムは、CISAが警告を発する前に侵害されていた可能性がある。
組織はアップデートを完了し、影響を受けたシステムで不正な活動がなかったか確認するとともに、侵害中に設定された認証情報やアクセス権をすべて無効化すべきだ。
関連記事：CISAは以前悪用された脆弱性7件を追加し、LiteLLM、Kestra、SonicWallなど、AIインフラやエンタープライズソフトウェアに影響する脆弱性を取り上げている。