CVE-2026-44194: RCE in OPNsense Core Firewall
プラットフォーム
linux
コンポーネント
opnsense
修正版
26.1.8
OPNsense Coreは、FreeBSDベースのファイアウォールおよびルーティングプラットフォームです。この脆弱性（CVE-2026-44194）は、バージョン26.1.0から26.1.8までのOPNsense Coreにおいて、ユーザー管理権限を持つ認証済みユーザーが、悪意のあるペイロードをコンプライアンスするメールアドレスとしてフォーマットすることで、任意のシステムコマンドをrootとして実行できるリモートコード実行（RCE）の脆弱性です。この脆弱性は、バージョン26.1.8で修正されています。
影響と攻撃シナリオ
攻撃者は、この脆弱性を悪用することで、OPNsense Coreファイアウォール上で任意のコードを実行し、システムを完全に制御する可能性があります。これにより、機密情報の窃取、マルウェアのインストール、ネットワークへの不正アクセスなど、広範囲にわたる損害を引き起こす可能性があります。特に、ファイアウォールはネットワークの境界に位置するため、この脆弱性が悪用されると、内部ネットワーク全体が危険にさらされる可能性があります。この攻撃は、ユーザー管理権限を持つアカウントの認証情報が漏洩した場合に発生する可能性があり、攻撃者はそのアカウントを乗っ取って脆弱性を悪用します。
悪用の状況
この脆弱性は、認証が必要なため、公開されているエクスプロイトコードが存在する場合でも、攻撃者がOPNsense Coreのユーザー管理権限を持つアカウントの認証情報を取得する必要があります。現時点では、この脆弱性が積極的に悪用されているという報告はありませんが、攻撃者による悪用は十分に考えられます。NVDおよびCISAの公開日を確認し、最新の情報を把握してください。
脅威インテリジェンス
エクスプロイト状況
CVSS ベクトル
これらのメトリクスの意味は？
- Attack Vector
- ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
- Attack Complexity
- 低 — 特別な条件不要。安定して悪用可能。
- Privileges Required
- 高 — 管理者または特権アカウントが必要。
- User Interaction
- なし — 自動かつ無音の攻撃。被害者は何もしない。
- Scope
- 変化あり — 攻撃が脆弱なコンポーネントを超えて他のシステムに波及可能。
- Confidentiality
- 高 — 機密性の完全喪失。全データが読み取り可能。
- Integrity
- 高 — 任意のデータの書き込み・変更・削除が可能。
- Availability
- 高 — 完全なクラッシュまたはリソース枯渇。完全なサービス拒否。
影響を受けるソフトウェア
弱点分類 (CWE)
タイムライン
- 予約済み
- 公開日
緩和策と回避策
この脆弱性への最良の対応策は、OPNsense Coreをバージョン26.1.8にアップグレードすることです。アップグレードがシステムに影響を与える場合は、以前の安定バージョンにロールバックすることを検討してください。WAFやプロキシサーバーを使用している場合は、悪意のあるメールアドレス形式の入力をブロックするルールを実装することを推奨します。また、ユーザー管理権限を持つアカウントのパスワードを強化し、多要素認証を有効にすることで、攻撃のリスクを軽減できます。アップグレード後、システムログを確認し、不正なコマンド実行の兆候がないか確認してください。
修正方法翻訳中…
Actualice OPNsense a la versión 26.1.8 o posterior para mitigar la vulnerabilidad de ejecución remota de código. Esta actualización corrige la validación de entrada en el flujo de sincronización de usuarios locales, evitando la ejecución de comandos arbitrarios del sistema.
よくある質問
CVE-2026-44194 — RCE in OPNsense Coreとは何ですか？
CVE-2026-44194は、OPNsense Coreファイアウォールにおいて、認証済みユーザーが任意のシステムコマンドをrootとして実行できるリモートコード実行（RCE）の脆弱性です。
CVE-2026-44194 in OPNsense Coreの影響はありますか？
はい、OPNsense Coreのバージョン26.1.0から26.1.8を使用している場合は、この脆弱性によりシステムが完全に制御される可能性があります。
CVE-2026-44194 in OPNsense Coreを修正するにはどうすればよいですか？
OPNsense Coreをバージョン26.1.8にアップグレードしてください。
CVE-2026-44194は積極的に悪用されていますか？
現時点では、積極的に悪用されているという報告はありませんが、攻撃者による悪用は十分に考えられます。
CVE-2026-44194に関するOPNsenseの公式アドバイザリはどこで入手できますか？
OPNsenseの公式ウェブサイトまたはセキュリティアドバイザリページで確認してください。
今すぐ試す — アカウント不要
Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
依存関係ファイルをドラッグ＆ドロップ
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...