AjaxPro の安全でない逆シリアル化でリモートコード実行（KEV・是正期限 2026-09-09）

High（CVSS 8.1）に分類されるAjax.NET Professional Ajax.NET Professional。NuGet パッケージ ajaxpro.2 は全バージョンが該当。michaelschwarz/Ajax.NET-Professional 本体は 21.10.30.1 未満が該当。の脆弱性です。ASP.NET 向けの Ajax ライブラリ Ajax.NET Professional（AjaxPro）に、信頼できないデータの逆シリアル化（CWE-502）の脆弱性がある。任意の .NET クラスを逆シリアル化できてしまうため、これを悪用してリモートコード実行に至る。 該当範囲の表現が2つに分かれている点に注意が要る。NVD の適合定義では、パッケージ ajaxpro.2 は全バージョンが該当、michaelschwarz/Ajax.NET-Professional 本体は 21.10.30.1 未満が該当となっている。CISA KEV の記載はさらに踏み込んでおり、対象製品は提供終了（EoL）または保守終了（EoS）である可能性があるとして、利用の停止またはサポートされているバージョンへの移行を勧めている。 CVSS は NVD で 3.1 の 8.1（High）、ベクタは AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H である。ネットワーク経由（AV:N）かつ認証不要（PR:N）で機密性・完全性・可用性がいずれも High だが、攻撃条件の複雑さが High（AC:H）である点が 9 点台との差になっている。 CVE 自体は 2021 年 12 月公開の古いものだが、CISA が 2026-08-26 に KEV へ収載し、是正期限を 2026-09-09 に設定した（カタログ 2026.08.27 で確認）。NVD の参照には、攻撃側の活動を追った Cisco Talos の報告と、公開済みの実証コードを含む Packet Storm のエントリが Exploit タグ付きで並んでいる。つまり手順が公開されたうえで実際に使われている状態である。ランサムウェアでの利用は Unknown とされている。 修正コミットは michaelschwarz/Ajax.NET-Professional の b0e63be5 で公開されており、Snyk にも該当エントリ（SNYK-DOTNET-AJAXPRO2-1925971）がある。

この件は「更新すれば終わり」ではなく、まず自分の資産に AjaxPro が入っているかどうかを見つけるところが本題になる。古い ASP.NET (Web Forms) アプリに、当時の Ajax 実装として取り込まれたまま忘れられている形が典型である。 探し方は2通りある。①依存関係から探す。packages.config や .csproj の PackageReference に ajaxpro / ajaxpro.2 が無いかを検索する。②配置物から探す。bin 配下に AjaxPro.dll が無いか、web.config に AjaxPro のハンドラ登録（ajaxpro/ 配下へのパス）が無いかを見る。ソースが手元に無い運用中のアプリでも、②なら確認できる。 該当したときの対処は、NuGet パッケージ ajaxpro.2 を使っているなら全バージョンが該当するので、そのままの更新では解決しない。michaelschwarz/Ajax.NET-Professional の 21.10.30.1 以降へ移すか、CISA の勧告どおり利用そのものを止める。KEV は本製品が提供終了・保守終了である可能性を明記したうえで、利用停止かサポート対象への移行を求めているので、長期的にはライブラリを外す方向で計画するのが妥当である。 すぐに外せない場合の緩和は、AjaxPro のエンドポイント（web.config でハンドラに割り当てているパス）への到達をネットワークやリバースプロキシで遮断することである。AjaxPro を実際には使っていないのにハンドラ登録だけが残っている、という状態は珍しくなく、その場合は登録を外すだけで攻撃面が消える。まず「本当に使っているのか」を確かめると、判断が早くなることが多い。 優先度の置き方について。AC:H なので無条件に成立するものではないが、実証コードが公開され、攻撃活動の報告があり、KEV に収載されている。認証不要（PR:N）で外部から到達できる面に置かれているなら、AC:H を理由に後回しにしないほうがよい。逆に、社内からのみ到達できるアプリであれば、遮断を先に入れて計画的に外す判断が取れる。

Ajax.NET Professional Ajax.NET Professional。NuGet パッケージ ajaxpro.2 は全バージョンが該当。michaelschwarz/Ajax.NET-Professional 本体は 21.10.30.1 未満が該当。 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2021-23758）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/09 です。早急な対応が推奨されます。