情報取得日: 2025/10/14／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2016-7836 |
|---|---|
| 製品 | Sky（Ｓｋｙ株式会社） / SKYSEA Client View |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-287 不適切な認証 |
| CVE 公開日 | 2017/06/09（NVD） |
| CISA KEV 収載日 | 2025/10/14 2017年に公開された脆弱性です。新着として扱う前に公開年を確認してください。 |
| KEV 期限 | 2025/11/04 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2016-7836 |
IT 資産管理製品 SKYSEA Client View のエージェントに、管理コンソールとの TCP 通信における認証処理の不備があり、遠隔の攻撃者が端末上で任意のコードを実行できる。影響は Ver.11.221.03 およびそれ以前で、NVD の CPE も 11.221.03 以下となっている。JVN#84995847 は、この脆弱性を悪用する攻撃が実際に観測されたと記載しており、修正を含むのは Ver.11.300.08h であるとしている。ベンダーの 2016 年 12 月 21 日付の告知（2017 年 3 月 8 日追記）はより具体的で、エージェントを入れた端末にグローバル IP アドレスが割り当てられ、かつ SKYSEA Client View が使う通信ポートをブロックしていない環境で、組織外のサーバーから不正なパケットを受信する事例が確認されたと述べている。同告知の 2016 年 12 月 27 日追記では、今後プライベート IP アドレスのみのローカル環境でも悪用され得るとして、エージェント導入端末すべてへのパッチ適用を強く推奨している。CVSS は NVD（Primary）と CISA-ADP（Secondary）がいずれも 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で一致しており、旧 CVSS v2 では 10.0（AV:N/AC:L/Au:N/C:C/I:C/A:C）である。公開は 2017-06-09 だが、CISA KEV への収載は 2025-10-14 で、是正期限は 2025-11-04。ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 の Windows インスタンスに SKYSEA Client View のエージェントを入れている場合、ベンダー提供の対策パッチを適用するか Ver.11.300.08h 以降へ更新する
AWS の欠陥ではなく利用者が導入した資産管理エージェントの問題。ベンダーが危険な条件として挙げるのはグローバル IP かつ通信ポート未遮断の構成なので、パブリック IP を持つインスタンスとセキュリティグループの受信規則を先に確認する。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine の Windows インスタンスに導入しているエージェントを対策パッチ適用済み、または Ver.11.300.08h 以降にする
GCP 側の対応で解消するものではない。外部 IP を付けた VM は特に優先し、VPC ファイアウォールでエージェントの通信を管理コンソールの所在からのみに限定する。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM や Azure Virtual Desktop の Windows イメージに含めているエージェントを対策パッチ適用済み、または Ver.11.300.08h 以降にする
マスターイメージにエージェントを焼き込んでいる場合、稼働中のホストだけ直してもイメージを作り直さないと古い版が復活する。ネットワークセキュリティグループで外部からの到達を塞ぐ。
参照リンク
|
| Linux | 対象外 |
対応不要（該当エージェントの対象は Windows 端末で、Linux 向けの記載は無い）
JVN もベンダー告知もクライアント PC 上での任意コード実行として記述しており、Linux 側に適用するパッチは示されていない。Linux 上のファイアウォールや踏み台を経由してエージェントの通信ポートが外部へ露出していないかの確認にとどまる。
参照リンク
|
この CVE の実務上の要点は、2016 年の問題が 2025 年に KEV へ入ったという時間差にある。判定はまず、SKYSEA Client View のエージェントがどこに入っているかの棚卸しから始める。管理コンソール側でエージェントの一覧とバージョンを出し、Ver.11.221.03 以下のものを抽出する。現行の出荷バージョン Ver.11.3（Ver.11.300.08h）には対策パッチが適用済みで、この版であれば改めての適用は不要である。見落としやすいのは、登録したままコンソールへ通信していない端末、退役処理が済んでいない端末、クラウドやデータセンターの Windows サーバーに入れたエージェントである。とくに危ないのはグローバル IP を持つ端末で、ベンダー告知が実際の不正パケット受信事例として挙げているのはこの構成である。クラウド上の Windows インスタンスにパブリック IP を付けてエージェントを入れている箇所があれば最優先で洗う。すぐ更新できない場合の緩和策は、ベンダーと JVN の記述に沿って 2 つある。ひとつはエージェントが使う通信ポートを外部からブロックすることで、これはベンダー告知が危険な条件として「通信ポートをブロックしていない環境」を挙げていることの裏返しである。もうひとつは JVN が挙げるエージェントプログラムへのアクセス制限で、クラウドならセキュリティグループやファイアウォール規則で管理コンソールの所在からの通信だけを許可する形にする。パッチは保守契約ユーザー用 Web サイトで提供され、保守契約が終了している場合もこの脆弱性の対策パッチに限り個別提供する旨がベンダー告知に書かれているので、契約切れを理由に放置しない。完了条件は、エージェント導入端末すべてがパッチ適用済みまたは Ver.11.300.08h 以降になっており、かつグローバル IP を持つ端末でエージェントの通信ポートが外部から到達できないことを確認できた時点である。KEV の是正期限 2025-11-04 は既に過ぎているため、未対応の端末が残っているなら期限超過として扱う。加えて実際の攻撃が観測されているため、更新だけで打ち切らず、対象端末に不審なプロセスや持続化の痕跡が無いかを確認し、侵害が疑われる端末では資格情報を再発行する。
Critical（CVSS 9.8）に分類されるSky（Ｓｋｙ株式会社） SKYSEA Client Viewの脆弱性です。IT 資産管理製品 SKYSEA Client View のエージェントに、管理コンソールとの TCP 通信における認証処理の不備があり、遠隔の攻撃者が端末上で任意のコードを実行できる。影響は Ver.11.221.03 およびそれ以前で、NVD の CPE も 11.221.03 以下となっている。JVN#84995847 は、この脆弱性を悪用する攻撃が実際に観測されたと記載しており、修正を含むのは Ver.11.300.08h であるとしている。ベンダーの 2016 年 12 月 21 日付の告知（2017 年 3 月 8 日追記）はより具体的で、エージェントを入れた端末にグローバル IP アドレスが割り当てられ、かつ SKYSEA Client View が使う通信ポートをブロックしていない環境で、組織外のサーバーから不正なパケットを受信する事例が確認されたと述べている。同告知の 2016 年 12 月 27 日追記では、今後プライベート IP アドレスのみのローカル環境でも悪用され得るとして、エージェント導入端末すべてへのパッチ適用を強く推奨している。CVSS は NVD（Primary）と CISA-ADP（Secondary）がいずれも 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）で一致しており、旧 CVSS v2 では 10.0（AV:N/AC:L/Au:N/C:C/I:C/A:C）である。公開は 2017-06-09 だが、CISA KEV への収載は 2025-10-14 で、是正期限は 2025-11-04。ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。
この CVE の実務上の要点は、2016 年の問題が 2025 年に KEV へ入ったという時間差にある。判定はまず、SKYSEA Client View のエージェントがどこに入っているかの棚卸しから始める。管理コンソール側でエージェントの一覧とバージョンを出し、Ver.11.221.03 以下のものを抽出する。現行の出荷バージョン Ver.11.3（Ver.11.300.08h）には対策パッチが適用済みで、この版であれば改めての適用は不要である。見落としやすいのは、登録したままコンソールへ通信していない端末、退役処理が済んでいない端末、クラウドやデータセンターの Windows サーバーに入れたエージェントである。とくに危ないのはグローバル IP を持つ端末で、ベンダー告知が実際の不正パケット受信事例として挙げているのはこの構成である。クラウド上の Windows インスタンスにパブリック IP を付けてエージェントを入れている箇所があれば最優先で洗う。すぐ更新できない場合の緩和策は、ベンダーと JVN の記述に沿って 2 つある。ひとつはエージェントが使う通信ポートを外部からブロックすることで、これはベンダー告知が危険な条件として「通信ポートをブロックしていない環境」を挙げていることの裏返しである。もうひとつは JVN が挙げるエージェントプログラムへのアクセス制限で、クラウドならセキュリティグループやファイアウォール規則で管理コンソールの所在からの通信だけを許可する形にする。パッチは保守契約ユーザー用 Web サイトで提供され、保守契約が終了している場合もこの脆弱性の対策パッチに限り個別提供する旨がベンダー告知に書かれているので、契約切れを理由に放置しない。完了条件は、エージェント導入端末すべてがパッチ適用済みまたは Ver.11.300.08h 以降になっており、かつグローバル IP を持つ端末でエージェントの通信ポートが外部から到達できないことを確認できた時点である。KEV の是正期限 2025-11-04 は既に過ぎているため、未対応の端末が残っているなら期限超過として扱う。加えて実際の攻撃が観測されているため、更新だけで打ち切らず、対象端末に不審なプロセスや持続化の痕跡が無いかを確認し、侵害が疑われる端末では資格情報を再発行する。
Sky（Ｓｋｙ株式会社） SKYSEA Client View を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2016-7836）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/11/04 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。