脆弱性管理製品『Tenable Security Center』に脆弱性4件 CVE-2026-64878ほか、ログイン後にサーバー乗っ取りの恐れ 6.8.0へ更新を

企業のセキュリティ運用で使われる脆弱性管理製品「Tenable Security Center（旧Tenable.sc）」に、重大な脆弱性が4件見つかりました。CVE-2026-64878とCVE-2026-64879（いずれも危険度9.9）は、ログイン済みの利用者が、製品が動くサーバー上で任意のコマンドを実行できる（乗っ取り）もの、CVE-2026-64877（9.6）は、権限の低い利用者でも内部データベースの機密情報を抜き取れるものです。加えてCVE-2026-64881（8.8）も、別の欠陥と組み合わせることでサーバー上のコマンド実行につながる同種の欠陥です。悪用にはログインが必要で、外部から無認証で一斉に、という類ではありませんが、脆弱性管理製品そのものが乗っ取られる意味は小さくありません。

開発元のTenableは、修正版Security Center 6.8.0を公開し、6.x系向けには単独パッチSC202607.1も提供しています。対象はLinux上で動く6.8.0より前のバージョンです。Tenable Security Centerは、組織内の機器の弱点を洗い出して一元管理する「守りの司令塔」であり、そこが乗っ取られると影響が広がります。何が起きるのか、どう対処するのかを順に説明します。

誰が、何のために狙うのか

この4件を悪用できるのは、Tenable Security Centerに有効なアカウントでログインできる相手です。管理者である必要はなく、権限の低い一般利用者でも成立します。つまり、悪意ある内部関係者や委託先の担当者、フィッシングなどで利用者のログイン情報を盗んだ攻撃者、あるいは別経路で正規アカウントを一つ手に入れた攻撃者が対象になります。外部から無認証で一斉に狙われる種類ではありませんが、「正規アカウントを一つ用意できれば乗っ取りに至る」点で軽視はできません。

攻撃者は、分析機能や監査ファイルのアップロードなど、入力の点検が甘い箇所に「シェルのメタ文字（特殊記号）」を紛れ込ませ、製品が動くサーバー上で任意のコマンドを実行します。加えてSQLインジェクション（データベースへの命令に不正な文字列を差し込む攻撃）を使えば、内部データベースの機密情報を読み出せます。行き着く先は、製品が動くサーバーの乗っ取りと、蓄積データの窃取です。

被害の意味は、製品の性格を踏まえると重くなります。Tenable Security Centerは、組織内のサーバーやネットワーク機器の脆弱性・資産情報を集約する「守りの司令塔」です。ここを乗っ取られると、組織のどこにどんな弱点があるかという地図がそっくり攻撃者の手に渡り、次の攻撃の精密な下調べに使われかねません。さらに、この製品が持つ広い到達範囲（各機器へのスキャン権限など）を踏み台に、社内深部への侵入を許す恐れもあります。だからこそ、後述の更新・パッチ適用を早めに済ませておく必要があります。

見つかった4件の内訳

CVE-2026-64878（CVSS 9.9）: 分析機能の絞り込み条件から、コマンドを実行できる

分析用のREST API（プログラム同士が連携する窓口）で、資産（機器）を絞り込む条件（フィルター）に渡された値の点検が不十分でした。ここにシェルのメタ文字を混ぜ込むと、製品が動くサーバー上でコマンドが実行されてしまいます。OSコマンドインジェクションと呼ばれる欠陥で、実行はサーバー上の低い権限のOSユーザーとして行われますが、そこからサーバーの掌握や情報窃取へつながります。悪用にはログインが必要です。

CVE-2026-64879（CVSS 9.9）: 監査ファイルのアップロードから、コマンドを実行できる

監査ファイルをアップロードする機能で、ファイル名の点検が不十分でした。ファイル名にシェルのメタ文字を仕込むと、そのままコマンドとして実行されてしまいます。前述のCVE-2026-64878と同じくOSコマンドインジェクションで、危険度も同じ9.9です。正規のアップロード操作を悪用される点が厄介で、こちらも悪用にはログインが必要です。

CVE-2026-64877（CVSS 9.6）: チケット機能から、内部データを抜き取れる

チケット管理のREST APIに、SQLインジェクションの欠陥がありました。権限の低い（非管理者の）利用者でも、内部データベースに保存された機密情報を読み出せるとされています。前述の2件がサーバー乗っ取り（コマンド実行）に至るのに対し、こちらは情報の抜き取りが主眼ですが、Security Centerが扱うデータは組織の弱点情報そのものであり、漏れれば攻撃の下調べに直結します。

CVE-2026-64881（CVSS 8.8）: 監査ファイル名から、別の欠陥と連鎖してコマンド実行

CVE-2026-64879と同じく、監査ファイルのアップロード処理でファイル名の点検が不十分な欠陥です。ファイル名に紛れ込ませたシェルのメタ文字が、システムのコマンド実行に流れ込みます。単体では成立せず別の脆弱性と組み合わせる（連鎖させる）必要があるぶん、危険度は8.8とされていますが、対処は他の3件と共通で、6.8.0への更新またはパッチSC202607.1で塞がれます。

影響範囲（バージョン早見表）

影響するかどうかは、稼働しているSecurity Centerのバージョンと、動作OSで決まります。今回の4件はいずれもLinux上のバージョンが対象です。

すぐに6.8.0へ上げられない場合は、6.x系向けに提供されている単独パッチSC202607.1を適用することで、今回の4件に対処できます。インターネットや広い社内ネットワークからログイン画面に到達できる構成ほど、正規アカウントの悪用リスクが高まるため、優先的に対処してください。

いま何をすればいいのか

対処は、Tenable Security Centerを6.8.0以降へ更新するか、6.x系向けの単独パッチSC202607.1を適用することです。最新の修正版・パッチとリリース情報は、Tenableのセキュリティ勧告（Security Advisories）で確認できます。今回の4件はいずれもログインが前提のため無認証で一斉に狙われる類ではありませんが、9.9のコマンド実行を含む以上、まとめて塞ぐのが確実です。

すぐに更新できない場合のつなぎとして、Security Centerの利用者アカウントを棚卸しし、不要なアカウントを整理する・多要素認証を徹底する・ログイン画面（管理コンソール）への到達経路を社内の限られた範囲に絞ることが有効です。悪用の前提が「有効なログイン」である以上、そもそもログインできる相手と経路を絞ることが被害の抑制につながります。

本記事の公開時点では、今回の4件が実際の攻撃に使われたという報告や、米政府CISAの「実際に攻撃されている脆弱性リスト（KEV）」への登録は確認されていません。とはいえ、脆弱性管理製品は組織の弱点情報が集まる要所であり、攻撃者にとって価値の高い標的です。攻撃の広がりは、攻撃中の脆弱性を追う一覧（日本語版）で確認できます。

よくある質問（FAQ）

まとめ

脆弱性管理製品「Tenable Security Center」に、重大な脆弱性が4件見つかりました。CVE-2026-64878とCVE-2026-64879（いずれも9.9）は、ログイン後に製品が動くサーバー上でコマンドを実行され乗っ取りに至るOSコマンドインジェクション、CVE-2026-64877（9.6）は権限の低い利用者でも内部データベースの機密情報を抜き取れるSQLインジェクション、CVE-2026-64881（8.8）は別の欠陥と連鎖してコマンド実行に至る欠陥です。悪用にはログインが要るため無認証で一斉に狙われる類ではありませんが、正規アカウントを一つ用意できれば乗っ取りに至る点で軽視できません。

対処は、Security Center 6.8.0への更新、または6.x系向けの単独パッチSC202607.1の適用です。あわせて、利用者アカウントの棚卸し、多要素認証、管理コンソールへの到達経路の制限も有効です。Security Centerは組織の弱点情報が集まる「守りの司令塔」であり、乗っ取られれば影響は広範に及びます。1件でも塞ぎ残せばサーバー乗っ取りにつながりうるため、更新は先延ばしにせず済ませておくのが安全です。

参照元

• ▸ NVD - CVE-2026-64878（分析APIのOSコマンドインジェクション）
• ▸ NVD - CVE-2026-64879（監査ファイルアップロードのOSコマンドインジェクション）
• ▸ NVD - CVE-2026-64877（チケットAPIのSQLインジェクション）
• ▸ NVD - CVE-2026-64881（監査ファイルアップロードのOSコマンドインジェクション・要連鎖）
• ▸ Tenable - セキュリティ勧告（修正版6.8.0・パッチSC202607.1）
• ▸ Tenable Security Center 製品ページ
• ▸ 関連: 攻撃中の脆弱性を追う一覧 CISA KEV（日本語版・当サイト）