セキュリティとITの最新情報

メールマガジン

サイバーセキュリティや
ラックに関する情報をお届けします。

Instagram

注意喚起　|　
2026年6月30日

ExpressUpdate Agent for Windowsにおける名前付きパイプに対するアクセス制御不備の脆弱性

脆弱性

デジタルペンテスト部

メルマガ登録する

シェアボタンを表示

メルマガ登録する

LAC Advisory No.146

デジタルペンテスト部の飯田です。

日本電気株式会社が提供するサーバ向け更新管理エージェント「ExpressUpdate Agent for Windows」において、一般ユーザーがSYSTEM権限で任意コードを実行できる脆弱性（CVE-2026-8797）を発見しました。

この脆弱性は一般ユーザーでのコード実行が前提条件です。本脆弱性を用いて、遠隔から直接攻撃される恐れはありませんが、他の脆弱性と組み合わせて攻撃に利用される恐れがあるため、早急に対策を行う必要があります。特に、サーバにインストールされるソフトウェアの脆弱性という性質上、悪用された場合に大きな影響が発生する可能性があるため注意が必要です。

製品開発者が販売しているサーバには当該製品が導入されている可能性があります。まずは当該製品がインストールされているかを確認し、インストールされている場合はアップデートを早急に実施することをおすすめします。

メール

サイバーセキュリティやラックに関する様々な情報をお届けします。

注意喚起情報をタイムリーに受け取れるメールマガジンの登録はこちら

目次

影響を受ける製品
対策方法
解説
発見者
公表までの経緯
CVE番号

影響を受ける製品

ExpressUpdate Agent for Windows 3.24以前

対策方法

製品開発者のサイトに従って最新バージョンへアップデートを実施してください。

※ 「ExpressUpdate Agent for Windowsにおけるアクセス制御不備の脆弱性」NV26-004: セキュリティ情報 | NEC

解説

当該製品はサーバ向けの更新管理エージェントであり、製品開発者が販売するWindows搭載サーバに導入されている可能性があります。

CVE-2026-8797は一般ユーザーが当該製品の内部で使用されている名前付きパイプを介してSYSTEM権限で任意コードを実行できる脆弱性です。CVSS v3/v4共に深刻度評価は「重要」となっており、悪用された場合に大きな影響が発生する可能性があります。

発見者

飯田雅裕（株式会社ラックデジタルペンテスト部）

公表までの経緯

本脆弱性は、情報セキュリティ早期警戒パートナーシップに基づき、ラックからIPAに報告し、JPCERT/CCによって開発者との調整が行われました。

JVN#35146924
JVNDB-2026-000088

CVE番号

この記事をシェアする

メールマガジン

サイバーセキュリティや
ラックに関する情報を
お届けします。

この記事は役に立ちましたか？

はいいいえ

関連記事

関連記事をご紹介します

「情報セキュリティ10大脅威 2026」から学ぶ、最新の脅威と対策ソリューション

この記事を読む
不正アクセス対策を見直そう～Auth0を認証基盤に選ぶ理由

この記事を読む
SSL/TLSサーバー証明書の有効期間47日ルールを乗り越える最適解とは

この記事を読む

よく読まれている記事

タグ