UbuntuのAD管理ツールADSysに証明書偽装の欠陥、0.16.3で修正済み
UbuntuをWindowsのActive Directoryで管理する公式ツール「ADSys」に、危険度9.0の重大な欠陥が見つかりました。証明書の自動取得を暗号化なしのHTTPで行っていたため、社内ネットワークに割り込んだ攻撃者が偽の証明書を端末に信じ込ませ、通信の盗み見やなりすましを許します。Ubuntu各版に修正が出ており更新が急務です。
目次
UbuntuをWindowsのActive Directoryで管理する公式ツール「ADSys」に、危険度9.0の重大な欠陥が見つかりました。証明書の自動取得を暗号化なしのHTTPで行っていたため、社内ネットワークに割り込んだ攻撃者が偽の証明書を端末に信じ込ませ、通信の盗み見やなりすましを許します。Ubuntu各版に修正が出ており更新が急務です。
UbuntuのパソコンをWindowsの「Active Directory（社内のユーザーや端末を一括管理する仕組み）」の管理下に置くための公式ツール「ADSys」は、バージョン0.16.2以前に危険度の高い欠陥を抱えています。証明書を自動で取得する通信を暗号化なしの「HTTP」で行っていたため、社内ネットワークに割り込んだ攻撃者に偽の証明書を信じ込まされる恐れがあります。共通の脆弱性識別番号は CVE-2026-12249、深刻度を示すCVSSスコアは9.0（最も深刻なCriticalの水準）です。修正版は0.16.3で、Ubuntu各版にも修正が配布済みです。すでに0.16.3以降を使っているなら、追加の対応は不要です。
問題は、ADSysが証明書を自動で取得する際に、暗号化されていない「HTTP」の平文通信を使っていた点です。このため、通信経路に割り込める攻撃者（中間者）が、Active Directory証明書サービス（AD CS）とのやり取りに偽の応答を混ぜ込み、攻撃者が用意した「ルート認証局（CA）証明書」をパソコンに信じ込ませることができます。結果として、そのパソコンが「何を正規の相手と信じるか」の土台（信頼ストア）が汚染されます。対象はADSys 0.13.0〜0.16.2で、0.16.3で修正されました。この修正は今も有効で、上流の最新は0.16.4系（0.16.4.post2）に進んでいますが、0.16.3以降であればこの欠陥への対処は済んでいます。
影響範囲とパッチ状況（ディストリ別早見表）
| 対象 | 状態 | 修正バージョン | 対応 |
|---|---|---|---|
| ADSys 本体 （上流） | 0.13.0〜0.16.2 が脆弱 | 0.16.3 （現行最新0.16.4系） | 0.16.3以降へ |
| Ubuntu 26.04 LTS | 修正済み | 0.16.3以降を同梱 | apt で更新 |
| Ubuntu 25.10 | 修正済み | 0.16.3以降を同梱 | apt で更新 |
| Ubuntu 24.04 LTS | 修正済み | 0.16.3~24.04.2 | apt で更新 |
| Ubuntu 22.04 LTS | 修正済み | 0.16.3~22.04.2 | apt で更新 |
| Ubuntu 20.04 LTS （ESM） | 修正済み | 0.9.2~20.04.2 ubuntu0.1+esm2 | ESM 適用で更新 |
この欠陥は誰に、どんな被害をもたらすのか
狙えるのは、社内ネットワークの通信に割り込める位置にいる攻撃者（中間者）です。具体的には、すでに社内ネットワークへ侵入を果たした攻撃者、乗っ取った社内のルーターやスイッチ、あるいは悪意ある内部関係者などが当てはまります。インターネットの向こうから誰でも、という性質ではありませんが、社内に一歩入られた後の「被害の広げ方」として強力です。
この相手は、ADSysが平文HTTPで証明書を取りに行く瞬間を捉え、偽のルート認証局証明書を正規のものとしてパソコンに信じ込ませます。ルート認証局の証明書は「この相手は本物だ」と判断するいちばん上の基準なので、偽物を信じ込まされると、そのパソコンの信頼判断の根っこが攻撃者に握られます。
汚染されたパソコンは、攻撃者が用意した偽のサーバーやWebサイトをOSが「正規の相手」と誤認してしまいます。これにより、暗号化されているはずの通信が盗み見られたり、書き換えられたり、ログイン情報をそっくりな偽画面で抜き取られたりします。ADSysはUbuntu端末をActive Directoryで一括管理する性格上、同じ設定が組織内の多数の端末に配られます。つまり、一つの中間者攻撃が、AD管理下のUbuntu端末群を一斉に毒する事態にもつながりかねません。だからこそ、後述する更新が急がれます。
技術的に何が起きているのか
分類はCWE-348（信頼性の低い情報源の使用）です。ADSysはWindows環境と同じように、証明書の自動登録（auto-enrollment）でUbuntu端末へ証明書を配る機能を持ちます。その登録のやり取りが暗号化されていないHTTPで行われていたため、通信内容を横から差し替えられる余地が生まれていました。
本来こうしたやり取りは、通信そのものを暗号化し、相手が本物かを検証したうえで行う必要があります。平文HTTPだと、中間者は応答に割り込んで攻撃者管理下のルートCA証明書を返すだけで、端末の信頼ストアにそれを取り込ませられます。修正版では、この登録処理の通信のあり方が見直されました。攻撃に利用者の操作は不要で、攻撃者が通信経路に入り込めるかどうかが条件になります。
いま分かっていること・まだ分からないこと
✓ 確認済みの事実
? 現時点で未確認のこと
- ?実環境での悪用が観測されたか ― 2026年7月23日時点で、米政府機関CISAが「実際に攻撃されている脆弱性」をまとめたKEVカタログには未掲載
- ?公開された実証コード（攻撃を再現するサンプル、PoC）の有無 ― 2026年7月23日時点で確実な公開情報は確認できていない
いま何をすべきか
最優先は更新です。Ubuntuを使っている場合は、配布済みのセキュリティ更新を適用してください。26.04・25.10・24.04・22.04ではいつもの sudo apt update && sudo apt upgrade で adsys を最新版に上げられます。20.04 LTSは標準サポートを終えているため、修正はUbuntu Pro / ESM（拡張セキュリティ管理）経由で提供されます。ADSysを上流から直接導入している場合は0.16.3以降へ更新してください。
更新までの間に被害範囲を狭めたい場合は、証明書自動登録の機能を一時的に止める、管理用の通信を信頼できるネットワーク区画に限定する、社内ネットワークの中間者攻撃を検知・抑止する仕組み（通信の暗号化や機器認証）を確認する、といった対策が効きます。ADSysはUbuntu端末を多数まとめて管理する基盤なので、まずは「どの端末でADSysと証明書自動登録を使っているか」を把握し、優先的に当てていくのが現実的です。
その後に見つかった別の弱点（通信を止めるタイプ）
この記事の公開後、ADSysには別系統の弱点が2件見つかっています。CVE-2026-27141 と CVE-2026-33814 で、どちらもHTTP/2という通信方式のデータ処理に不備があり、細工した通信を送りつけられるとADSysの機能が止まる（サービス停止＝DoS）タイプです。今回の証明書のなりすまし（CVE-2026-12249）とは別の問題で、深刻度も低めですが、同じ製品の弱点として押さえておくとよいでしょう。
この2件はUbuntuのセキュリティ告知 USN-8430-1（2026年6月15日）で修正され、Ubuntu 26.04・25.10・24.04・22.04・20.04向けの更新版adsysが配られています。いつもの apt での更新を当てておけば、証明書の欠陥とあわせてまとめて解消できます。
まとめ
CVE-2026-12249は、UbuntuをActive Directoryで管理する公式ツールADSysが、証明書の自動登録を平文HTTPで行っていたために、中間者攻撃で偽のルート証明書を信じ込まされる、CVSS 9.0の重大な欠陥です。対象はADSys 0.13.0〜0.16.2で、0.16.3および各Ubuntu版の更新で修正済み。上流の最新は0.16.4系に進んでいますが、0.16.3以降であれば対処は済んでいます。2026年7月23日時点で、KEVカタログへの登録や実環境での悪用は確認されていません。
社内に一歩入られた後の「被害の横展開」を許す種類の穴で、AD管理下のUbuntu端末をまとめて危険にさらします。0.16.3以降を使っていれば追加の対応は要りませんが、古いままなら更新を、そして証明書まわりの通信が暗号化されているかの確認をおすすめします。後から見つかったHTTP/2のサービス停止（CVE-2026-27141／33814）も、同じapt更新でまとめて塞げます。
参照元
堀川 慎
Backend Engineer / AWS / Django / Go
