CVE-2026-44193: RCE in OPNsense Firewall
プラットフォーム
linux
コンポーネント
opnsense
修正版
26.1.7
CVE-2026-44193は、FreeBSDベースのファイアウォールおよびルーティングプラットフォームであるOPNsenseにおけるリモートコード実行(RCE)脆弱性です。この脆弱性は、XMLRPCのopnsense.restoreconfigsectionメソッドがユーザーからの入力を適切にサニタイズしないことに起因します。OPNsenseバージョン26.1.0から26.1.7に影響を与え、バージョン26.1.7へのアップデートで修正されています。
影響と攻撃シナリオ
このRCE脆弱性を悪用されると、攻撃者はOPNsenseファイアウォール上で任意のコードを実行できるようになります。これにより、機密情報の窃取、システム設定の変更、さらにはネットワーク全体への攻撃の踏み台として利用される可能性があります。攻撃者は、XMLRPCインターフェースを通じて不正なXMLデータを送信することで、脆弱性を突くことができます。この脆弱性の悪用は、ネットワークインフラ全体に深刻な影響を及ぼす可能性があります。
悪用の状況
この脆弱性は、2026年5月13日に公開されました。現時点では、KEV（Known Exploited Vulnerabilities）リストに掲載されていません。EPSS（Exploit Prediction Scoring System）スコアは、攻撃の可能性を評価するために使用されますが、現時点では評価結果は公開されていません。パブリックなPoC（Proof of Concept）コードは確認されていませんが、RCE脆弱性であるため、将来的に悪用される可能性はあります。
脅威インテリジェンス
エクスプロイト状況
CVSS ベクトル
これらのメトリクスの意味は？
- Attack Vector
- ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
- Attack Complexity
- 低 — 特別な条件不要。安定して悪用可能。
- Privileges Required
- 高 — 管理者または特権アカウントが必要。
- User Interaction
- なし — 自動かつ無音の攻撃。被害者は何もしない。
- Scope
- 変化あり — 攻撃が脆弱なコンポーネントを超えて他のシステムに波及可能。
- Confidentiality
- 高 — 機密性の完全喪失。全データが読み取り可能。
- Integrity
- 高 — 任意のデータの書き込み・変更・削除が可能。
- Availability
- 高 — 完全なクラッシュまたはリソース枯渇。完全なサービス拒否。
影響を受けるソフトウェア
弱点分類 (CWE)
タイムライン
- 予約済み
- 公開日
緩和策と回避策
OPNsenseファイアウォールをバージョン26.1.7にアップデートすることが、この脆弱性に対する最も効果的な対策です。アップデートが利用できない場合、XMLRPCインターフェースへのアクセスを一時的に無効にするか、ファイアウォールルールでアクセスを制限することでリスクを軽減できます。また、WAF（Web Application Firewall）を導入し、不正なXMLリクエストを検出・ブロックすることも有効です。アップデート後、システムログを確認し、不正なアクティビティがないことを確認してください。
修正方法翻訳中…
Actualice OPNsense a la versión 26.1.7 o posterior para mitigar la vulnerabilidad de ejecución remota de código (RCE) en el método opnsense.restore_config_section. Esta actualización corrige la falta de sanitización de la entrada del usuario, previniendo la ejecución de código malicioso a través del endpoint XMLRPC. Consulte la documentación oficial de OPNsense para obtener instrucciones detalladas sobre cómo actualizar su sistema.
よくある質問
CVE-2026-44193 — RCE in OPNsenseとは何ですか？
CVE-2026-44193は、OPNsenseファイアウォールにおけるXMLRPCのopnsense.restoreconfigsectionメソッドの入力検証不備により発生するリモートコード実行(RCE)脆弱性です。攻撃者はこの脆弱性を利用して、システム上で任意のコードを実行できる可能性があります。
CVE-2026-44193 in OPNsenseに影響はありますか？
OPNsenseファイアウォールをバージョン26.1.0から26.1.7で運用している場合、この脆弱性に影響を受ける可能性があります。バージョン26.1.7へのアップデートを推奨します。
CVE-2026-44193 in OPNsenseを修正するにはどうすればよいですか？
OPNsenseファイアウォールをバージョン26.1.7にアップデートすることで、この脆弱性を修正できます。アップデートが利用できない場合は、XMLRPCインターフェースへのアクセスを制限するなどの緩和策を講じてください。
CVE-2026-44193は積極的に悪用されていますか？
現時点では、CVE-2026-44193を悪用した具体的な事例は確認されていませんが、RCE脆弱性であるため、将来的に悪用される可能性はあります。常に最新のセキュリティ情報を確認し、適切な対策を講じることを推奨します。
CVE-2026-44193に関するOPNsenseの公式アドバイザリはどこで入手できますか？
OPNsenseの公式アドバイザリは、OPNsenseのウェブサイトで確認できます。https://opnsense.org/security/。
今すぐ試す — アカウント不要
Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
依存関係ファイルをドラッグ＆ドロップ
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...