富士通ServerView Agentsの権限昇格脆弱性、V11.70.06以降なら対処不要

富士通系のエフサステクノロジーズが提供するサーバ管理ソフト「ServerView Agents for Windows」には、V11.60.04およびそれ以前のバージョンに、そのサーバへログインできる人がWindowsの最高権限（SYSTEM権限）を奪える脆弱性が2件あります（JVN#67883085／CVE-2026-27788・CVE-2026-32325）。2026年5月29日に提供が始まったV11.70.06以降へ更新済みなら対処は不要です。V11.60.04以前が1台でも残っていれば、更新が必要です。深刻度は2件ともCVSS 8.5（最大10）ですが、外部から誰でも攻撃できる種類ではなく、すでにサーバへログインする手段を持つ者が踏み台にする「ローカル権限昇格」で、公開から約2ヶ月たった2026年7月23日時点でも実際の悪用は確認されていません。報告者は株式会社ラックの飯田雅裕氏です。

ServerView Agentsとは、富士通のサーバ「PRIMERGY」に常駐し、温度・電源・ディスク・ファンといったハードウェアの状態を監視して管理者に知らせる「サーバ管理エージェント」です。官公庁・金融・製造業のデータセンターで広く動いており、PRIMERGYを多数並べて運用している現場では、ほぼ全台に入っていると言ってよいソフトです。その常駐ソフトの権限の扱いに不備があり、本来は限られた人しか持てないはずの最高権限が、一般の利用者から手の届くところに置かれていた、というのが今回の中身です。

権限昇格（けんげんしょうかく）とは、限られた権限しか持たない利用者が、本来は許されていない上位の権限を不正に手に入れることを指します。今回の2件はいずれもこの種類で、CVE番号としてCVE-2026-27788とCVE-2026-32325が割り当てられています。JVNのほか、米国立標準技術研究所のデータベースNVDでも各CVEを確認できます。

2件の脆弱性は何か（CVE別の中身）

2件はどちらも「ログインできる利用者がSYSTEM権限を奪える」点で結果は同じですが、原因となる弱点の分類が異なります。SYSTEM権限とは、Windowsでサービスやドライバを動かすために用意された最上位の権限で、人間の管理者（Administrator）よりさらに広い、OSそのものに等しい力を持ちます。

CVE-2026-27788: 不適切なアクセス権限の割り当て（CWE-732）

ServerView Agentsが使うファイルやフォルダ、設定などに対するアクセス権限（誰が読み書き・実行してよいかの設定）が、本来より緩く割り当てられていた問題です。分類はCWE-732（重要なリソースへの不適切な権限割り当て）。緩い権限をつけられた場所に、攻撃者が自分の用意したファイルを置き換えたり書き込んだりすると、それがSYSTEM権限で動いてしまい、結果として最高権限を握れます。深刻度はCVSS v4.0で8.5、v3.0で7.8（評価軸はいずれも「ローカルから・低い権限で・利用者操作なし」で機密性・完全性・可用性すべてに高い影響）です。詳細はNVDのCVE-2026-27788を参照してください。

CVE-2026-32325: 権限昇格（CWE-268）

こちらは権限の管理そのものに不備があり、限られた利用者がより上位の権限へ昇格できてしまう問題です。分類はCWE-268（権限管理の不備）。CVE-2026-27788とは原因の分類が分かれていますが、結果はやはりログインできる利用者によるSYSTEM権限の奪取です。深刻度はCVE-2026-27788とまったく同じで、CVSS v4.0が8.5、v3.0が7.8。2件は別々の弱点なので、片方だけをふさいでも安全とは言えず、どちらも更新で解消する必要があります。詳細はNVDのCVE-2026-32325にあります。

脆弱性の概要

米CISA（米国土安全保障省の下にあるサイバーセキュリティ機関）が公開する「実際に攻撃されている脆弱性リスト」（KEV＝Known Exploited Vulnerabilities）には、公開から約2ヶ月たった2026年7月23日時点でも2件とも未登録です。攻撃の手順を示すコード（PoC）の公開や悪用の報告も、確認できる範囲では出ていません。外部から無認証で攻撃できる種類ではないという性質と矛盾しない状況ですが、古い版を放置してよい理由にはなりません。なお同じServerView Agents for Windowsでは、2026年1月にもインストーラーのファイル読み込みに関する別の脆弱性（JVN#65211823／CVE-2026-24016、V11.50.06以前）が公開されています。また同じPRIMERGYまわりでは、遠隔管理コントローラ「iRMC S5/S6」のアクセス制御の不備（エフサスのアドバイザリ、ファームウェア更新で修正）も公開済みです。いずれも今回の2件とは別件ですが、PRIMERGYを運用している組織はあわせて更新状況を確認しておくとよいでしょう。

サーバに入れる人が「鍵束ごと持ち出せる」とき、データセンターから消えるもの

この2件が怖いのは、外からの攻撃ではなく「すでにそのサーバにログインできる人」が最高権限へ駆け上がれる点です。足場になりうるのは、運用を委託された外部ベンダーの常駐担当者、使い回している運用アカウントを握る誰か、フィッシングで一般社員のIDを盗んだ侵入者、退職後も消されず残る元担当者です。SYSTEM権限を取れば業務システム、顧客データ、認証情報、バックアップまで触れます。本CVEを踏まれた瞬間、限られた権限しか持たなかった利用者に、サーバ1台がまるごと乗っ取られてしまいます。

被害はその1台では止まりません。最高権限を握った者はServerViewのハードウェア管理機能を入口に、同じ管理ネットワークの他のPRIMERGYへ横展開し、複数台を次々と掌握していけます。そこから基幹データの抜き取りやバックアップの破壊、全台へのランサムウェア展開へ進めば、復旧の足場ごと失われます。管理エージェントは全台共通で入るため、1つの弱点が「全フリートに効く合鍵」になるのが厄介です。

この連鎖の責任はサーバを運用する企業やデータセンター事業者に返ります。個人情報が漏れれば本人への通知と個人情報保護委員会への報告が必要になり、運用を受託していればSLA（サービス品質の契約）違反の賠償を問われ、止まった基幹システムの損失と信用の失墜が同時にのしかかります。内側の権限管理の穴だっただけに、いま更新と棚卸しに手を打てるかが現場の安全を左右します。

自分の環境は危ないのか（影響範囲の早見表）

リスクの大きさは、ServerView Agentsのバージョンと、そのサーバにログインできるアカウントをどれだけ絞れているかで変わります。自社のPRIMERGYがどの状態かを下の表で確認してください。OSはWindowsが対象で、Linux版（ServerView Agents for Linux）は今回の対象外です。エージェントを常駐させない後継の管理方式「ServerView Agentless Service」も、ベンダーのアドバイザリで影響を受けないことが明記されています。

いますぐやるべきこと（対策）

最も確実な対策は、修正版であるV11.70.06以降へのアップデートです。2件とも更新で解消します。すぐ更新できない環境には、ベンダーが公式の回避策も示しています。そのうえで、更新が全台に行き渡るまでの間は、SYSTEM権限への昇格を「誰にもさせない」運用面の手当てが必要になります。次の順で進めてください。

1. V11.70.06以降へアップデートする。 エフサステクノロジーズのセキュリティ情報（2026年5月29日）は、対処方法としてV11.70.06以降（同日提供開始）へのアップデートを明記しています。入手先はサポートサイトとセキュリティ情報（PSIRT）で、影響バージョン（V11.60.04以前）に該当する全PRIMERGYへ適用します。適用前に、これより新しい版が出ていないかもあわせて確認してください。

2. すぐ更新できないサーバでは、2つのサービスを一時的に無効化する。 アドバイザリは回避策として、更新までの間「Fujitsu Diagnostic Testhandler」と「ServerView Remote Connector」の両サービスを無効化する方法を示しています。ただしRemote Connectorを止めている間は、System Monitorの表示・操作と、ServerView Operations Manager（複数サーバをまとめて管理する上位ソフト）との連携が使えません。あくまで更新までのつなぎとして使ってください。

3. サーバにログインできるアカウントを棚卸しして最小化する。 この脆弱性は「ログインできること」が前提です。各PRIMERGYにログイン可能なアカウントを洗い出し、不要なものを削除します。退職者・異動者・契約が切れた外部委託者のアカウントは即時に無効化してください。

4. 共用アカウントを廃止し、個人ごとに分ける。 複数人で使い回す運用アカウントは、誰が踏んだか追えず、悪用の温床になります。原則として個人単位のアカウントに切り替え、誰がいつログインしたかを記録できる状態にします。

5. ローカルログオン権限を絞る。 Windowsのアカウントと権限の設定を見直し、サーバへローカルでログオンできる範囲を業務上どうしても必要な人だけに限定します。足場になりうる入口そのものを減らすのが狙いです。

6. ServerViewの権限とファイルのアクセス権を確認する。 ServerViewが使うフォルダ・ファイル・サービスのアクセス権（ACL＝誰が読み書き・実行してよいかの一覧）に、一般利用者が書き込めるような緩い設定が残っていないかを点検します。CVE-2026-27788はこの緩さを突くものなので、更新適用までの間の被害を抑える助けになります。

7. 監査ログを監視する。 権限昇格の試みは、見慣れない権限取得や管理者権限での想定外の操作として痕跡が残ることがあります。SYSTEM権限での不審な動作、ServerView関連ファイルの書き換え、深夜帯のログインなどを監視ポイントに加えてください。

PRIMERGYを多数並べている現場ほど、ServerView Agentsは全台に共通で入っているため、1台でも古い版が残れば内部からの侵入の足場になります。フリート全台への展開は「代表機だけ更新して安心しない」ことが肝心です。資産管理台帳とつき合わせ、影響バージョンが1台も残らないところまで確認してください。自社で運用しているソフトに潜む弱点を素早く把握したい場合は、OSSサプライチェーン・スキャナーの考え方も棚卸しの参考になります。

参照元

• ▸JVN - JVN#67883085 ServerView Agents for Windows における権限昇格の脆弱性（2026年5月29日）
• ▸JVN（英語版）- JVN#67883085
• ▸NVD - CVE-2026-27788（不適切なアクセス権限の割り当て・CWE-732）
• ▸NVD - CVE-2026-32325（権限昇格・CWE-268）
• ▸エフサステクノロジーズ - ServerView Agents for Windowsにおける権限昇格の脆弱性（修正版V11.70.06・回避策の案内）（2026年5月29日）
• ▸エフサステクノロジーズ 公式サイト（サポート・最新版の確認）
• ▸エフサステクノロジーズ - iRMC S5/S6におけるアクセス制御不備（関連情報）
• ▸富士通 セキュリティ情報（PSIRT）
• ▸株式会社ラック（報告者所属）
• ▸CWE-732 - 重要なリソースへの不適切な権限割り当て
• ▸CWE-268 - 権限管理の不備
• ▸Microsoft - Windowsのローカルアカウントと権限
• ▸JVN - JVN#65211823 ServerView Agents for Windowsのインストーラーの脆弱性（関連・CVE-2026-24016）
• ▸CISA - Known Exploited Vulnerabilities Catalog（未登録の確認）