CVE-2026-42406は、F5 BIG-IPおよびBIG-IQシステムに存在する特権昇格の脆弱性です。認証された攻撃者が、少なくともCertificate Managerの役割を持つ場合、設定オブジェクトを改ざんし、システム上で任意のコマンドを実行できるようになります。影響を受けるバージョンは16.1.0から21.0.0.2までです。F5はバージョン21.0.0.2でこの脆弱性を修正しました。
影響と攻撃シナリオ
この脆弱性を悪用されると、攻撃者はBIG-IPまたはBIG-IQシステム上で任意のコードを実行し、システムを完全に制御する可能性があります。攻撃者は、機密情報を盗み出し、システム設定を改ざんし、他のシステムへの攻撃の足がかりとして利用する可能性があります。特に、Certificate Managerの役割を持つ攻撃者にとって、この脆弱性は非常に危険です。この脆弱性は、Log4Shellのような広範囲な影響を及ぼす可能性があります。
悪用の状況
この脆弱性は2026年5月13日に公開されました。現時点では、公開されているPoCは確認されていませんが、特権昇格の脆弱性であるため、悪用される可能性は高いと考えられます。NVDおよびCISAの情報を注視し、最新の脅威インテリジェンスに基づいて対応を検討する必要があります。
脅威インテリジェンス
エクスプロイト状況
CISA SSVC
CVSS ベクトル
これらのメトリクスの意味は？
- Attack Vector
- ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
- Attack Complexity
- 低 — 特別な条件不要。安定して悪用可能。
- Privileges Required
- 高 — 管理者または特権アカウントが必要。
- User Interaction
- なし — 自動かつ無音の攻撃。被害者は何もしない。
- Scope
- 変化あり — 攻撃が脆弱なコンポーネントを超えて他のシステムに波及可能。
- Confidentiality
- 高 — 機密性の完全喪失。全データが読み取り可能。
- Integrity
- 高 — 任意のデータの書き込み・変更・削除が可能。
- Availability
- なし — 可用性への影響なし。
影響を受けるソフトウェア
弱点分類 (CWE)
タイムライン
- 予約済み
- 公開日
緩和策と回避策
F5はバージョン21.0.0.2へのアップグレードを推奨しています。アップグレードが利用できない場合は、一時的な緩和策として、Certificate Managerの役割を持つユーザーの権限を最小限に抑える、および設定オブジェクトへのアクセスを厳密に制御するなどの対策を講じることができます。WAFやプロキシサーバーを使用して、悪意のあるコマンド実行を試みるトラフィックをブロックすることも有効です。アップグレード後、システムが正常に動作していることを確認してください。
修正方法翻訳中…
Actualice a una versión corregida de BIG-IP o BIG-IQ. F5 ha publicado parches para solucionar esta vulnerabilidad. Consulte la nota de seguridad K000160971 en el sitio web de F5 para obtener más detalles sobre las versiones afectadas y las versiones corregidas.
よくある質問
CVE-2026-42406 — 特権昇格 in F5 BIG-IPとは何ですか？
CVE-2026-42406は、F5 BIG-IPおよびBIG-IQシステムにおいて、認証された攻撃者が設定オブジェクトを改ざんし、任意のコマンドを実行できる脆弱性です。CVSSスコアは8.7（HIGH）で、システムへの完全な制御を許してしまう可能性があります。
CVE-2026-42406 in F5 BIG-IPに影響を受けますか？
F5 BIG-IPおよびBIG-IQシステムのバージョン16.1.0から21.0.0.2を使用している場合は、影響を受ける可能性があります。バージョン21.0.0.2以降にアップグレードすることを推奨します。
CVE-2026-42406 in F5 BIG-IPを修正するにはどうすればよいですか？
F5はバージョン21.0.0.2へのアップグレードを推奨しています。アップグレードが困難な場合は、一時的な緩和策として、Certificate Managerの役割を持つユーザーの権限を最小限に抑えるなどの対策を講じてください。
CVE-2026-42406は積極的に悪用されていますか？
現時点では、公開されているPoCは確認されていませんが、特権昇格の脆弱性であるため、悪用される可能性は高いと考えられます。最新の脅威インテリジェンスに基づいて対応を検討する必要があります。
CVE-2026-42406に関するF5の公式アドバイザリはどこで入手できますか？
F5の公式アドバイザリは、F5のセキュリティアドバイザリページで確認できます。https://www.f5.com/services/support/security-advisories
今すぐ試す — アカウント不要
Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
依存関係ファイルをドラッグ＆ドロップ
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...