分析待ちCVE-2026-40698

CVE-2026-40698: Privilege Escalation in F5 BIG-IP

プラットフォーム

linux

コンポーネント

bigip

修正版

21.0.0.2

NVDで見る

保存

CVE-2026-40698は、F5 BIG-IPおよびBIG-IQシステムに存在する特権昇格の脆弱性です。認証された攻撃者が、Resource Administrator以上の権限を持つ場合、iControl RESTまたはtmsh（TMOSシェル）を通じてSNMP設定オブジェクトを作成することで、権限を昇格させることが可能です。影響を受けるバージョンは16.1.0から21.0.0.2までです。バージョン21.0.0.2へのアップデートでこの脆弱性は修正されています。

影響と攻撃シナリオ

この脆弱性を悪用されると、攻撃者はResource Administrator以上の権限を持つアカウントを悪用し、SNMP設定オブジェクトを作成することで、システム内の権限を昇格させることが可能になります。これにより、機密情報の窃取、システム設定の改ざん、さらにはシステム全体の制御権の奪取といった深刻な被害が発生する可能性があります。特に、SNMPを有効化している環境や、Resource Administrator権限を持つアカウントが不必要に存在している環境では、攻撃のリスクが高まります。この脆弱性は、システム内の他のコンポーネントへの攻撃の足がかりとなる可能性も考慮する必要があります。

悪用の状況

この脆弱性は、2026年5月13日に公開されました。現時点では、KEV（Known Exploited Vulnerabilities）に登録されているかどうかの情報は確認されていません。CVSSスコアは8.7（HIGH）であり、攻撃の可能性は中程度と評価されます。公開されているPoC（Proof of Concept）は確認されていませんが、特権昇格の脆弱性であるため、今後悪用される可能性は否定できません。NVD（National Vulnerability Database）およびCISA（Cybersecurity and Infrastructure Security Agency）の情報を定期的に確認し、最新の脅威動向を把握することが重要です。

脅威インテリジェンス

エクスプロイト状況

概念実証不明

CISA KEVNO

インターネット露出高

CISA SSVC

悪用状況none

自動化可能no

技術的影響total

CVSS ベクトル

これらのメトリクスの意味は？

Attack Vector: ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
Attack Complexity: 低 — 特別な条件不要。安定して悪用可能。
Privileges Required: 高 — 管理者または特権アカウントが必要。
User Interaction: なし — 自動かつ無音の攻撃。被害者は何もしない。
Scope: 変化あり — 攻撃が脆弱なコンポーネントを超えて他のシステムに波及可能。
Confidentiality: 高 — 機密性の完全喪失。全データが読み取り可能。
Integrity: 高 — 任意のデータの書き込み・変更・削除が可能。
Availability: なし — 可用性への影響なし。

影響を受けるソフトウェア

コンポーネントbigip

ベンダーF5

最小バージョン16.1.0

最大バージョン21.0.0.2

修正版21.0.0.2

弱点分類 (CWE)

CWE-77

タイムライン

予約済み2026-04-30
公開日2026-05-13

緩和策と回避策

この脆弱性への対応策として、まずF5 BIG-IPおよびBIG-IQシステムをバージョン21.0.0.2以降にアップデートすることを推奨します。アップデートが困難な場合は、SNMPの設定を厳格に制限し、不要なSNMP設定オブジェクトの作成を防止する構成変更を検討してください。また、iControl RESTへのアクセスを制限し、Resource Administrator権限を持つアカウントの利用を最小限に抑えることも有効です。WAFやIPSなどのセキュリティ対策製品を導入し、SNMP関連の不正なアクセスを検知・遮断することも重要です。アップデート後、SNMP設定が適切に制限されているか、不要な設定オブジェクトが存在しないかを確認してください。

修正方法翻訳中…

Actualice a una versión corregida de BIG-IP o BIG-IQ. F5 ha lanzado parches para abordar esta vulnerabilidad. Consulte la documentación de F5 para obtener instrucciones detalladas sobre cómo aplicar las actualizaciones y mitigar el riesgo.

よくある質問

CVE-2026-40698 — 特権昇格 in F5 BIG-IPとは何ですか？

CVE-2026-40698は、F5 BIG-IPおよびBIG-IQシステムにおいて、認証された攻撃者がSNMP設定オブジェクトを作成することで権限を昇格させられる脆弱性です。CVSSスコアは8.7（HIGH）です。

CVE-2026-40698 in F5 BIG-IPに影響を受けますか？

F5 BIG-IPおよびBIG-IQシステムのバージョン16.1.0から21.0.0.2を使用している場合は、影響を受ける可能性があります。バージョン21.0.0.2以降にアップデートすることで修正されます。

CVE-2026-40698 in F5 BIG-IPを修正するにはどうすればよいですか？

F5 BIG-IPおよびBIG-IQシステムをバージョン21.0.0.2以降にアップデートすることを推奨します。アップデートが困難な場合は、SNMP設定の制限やiControl RESTへのアクセス制限などの緩和策を検討してください。

CVE-2026-40698は積極的に悪用されていますか？

現時点では、積極的に悪用されているという報告はありませんが、特権昇格の脆弱性であるため、今後悪用される可能性は否定できません。

CVE-2026-40698に関するF5の公式アドバイザリはどこで入手できますか？

F5の公式アドバイザリは、F5のセキュリティアドバイザリページで確認できます。詳細は、F5のウェブサイトを参照してください。

あなたのプロジェクトは影響を受けていますか?

依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。

無料スキャン CVEを検索

scanZone.liveBadgescanZone.eyebrow

今すぐ試す — アカウント不要

Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.

手動スキャンSlack/メールアラートContinuous monitoringホワイトラベルレポート

依存関係ファイルをドラッグ＆ドロップ

composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...

ファイルを選択