AjaxPro の安全でない逆シリアル化でリモートコード実行（KEV・是正期限 2026-09-09）

Critical（CVSS 9.8）に分類されるAjax.NET Professional Ajax.NET Professional。NuGet パッケージ ajaxpro.2 は全バージョンが該当。michaelschwarz/Ajax.NET-Professional 本体は 21.10.30.1 未満が該当。の脆弱性です。ASP.NET 向けの Ajax ライブラリ Ajax.NET Professional（AjaxPro）に、信頼できないデータの逆シリアル化（CWE-502）の脆弱性がある。任意の .NET クラスを逆シリアル化できてしまうため、これを悪用してリモートコード実行に至る。 該当範囲の表現が2つに分かれている点に注意が要る。NVD の適合定義では、パッケージ ajaxpro.2 は全バージョンが該当、michaelschwarz/Ajax.NET-Professional 本体は 21.10.30.1 未満が該当となっている。CISA KEV の記載はさらに踏み込んでおり、対象製品は提供終了（EoL）または保守終了（EoS）である可能性があるとして、利用の停止またはサポートされているバージョンへの移行を勧めている。 CVSS は NVD で 3.1 の 9.8（Critical）、ベクタは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H である。ネットワーク経由（AV:N）・認証不要（PR:N）・利用者の操作不要（UI:N）で、機密性・完全性・可用性がいずれも High、しかも攻撃条件の複雑さが Low（AC:L）である。 なお 2026-08-28 の再点検で、NVD の評価が 8.1（High・AC:H）から 9.8（Critical・AC:L）へ改定されたことを確認した。変わったのは攻撃条件の複雑さの判定だけだが、それが「条件が揃えば成立する」から「素直に成立する」への変更なので、点数への効き方が大きい。8.1 の時点の評価を根拠に優先度を下げていた場合は、その判断ごと見直す必要がある。 CVE 自体は 2021 年 12 月公開の古いものだが、CISA が 2026-08-26 に KEV へ収載し、是正期限を 2026-09-09 に設定した（カタログ 2026.08.27 で確認）。NVD の参照には、攻撃側の活動を追った Cisco Talos の報告と、公開済みの実証コードを含む Packet Storm のエントリが Exploit タグ付きで並んでいる。つまり手順が公開されたうえで実際に使われている状態である。ランサムウェアでの利用は Unknown とされている。 修正コミットは michaelschwarz/Ajax.NET-Professional の b0e63be5 で公開されており、Snyk にも該当エントリ（SNYK-DOTNET-AJAXPRO2-1925971）がある。

この件は「更新すれば終わり」ではなく、まず自分の資産に AjaxPro が入っているかどうかを見つけるところが本題になる。古い ASP.NET (Web Forms) アプリに、当時の Ajax 実装として取り込まれたまま忘れられている形が典型である。 探し方は2通りある。①依存関係から探す。packages.config や .csproj の PackageReference に ajaxpro / ajaxpro.2 が無いかを検索する。②配置物から探す。bin 配下に AjaxPro.dll が無いか、web.config に AjaxPro のハンドラ登録（ajaxpro/ 配下へのパス）が無いかを見る。ソースが手元に無い運用中のアプリでも、②なら確認できる。 該当したときの対処は、NuGet パッケージ ajaxpro.2 を使っているなら全バージョンが該当するので、そのままの更新では解決しない。michaelschwarz/Ajax.NET-Professional の 21.10.30.1 以降へ移すか、CISA の勧告どおり利用そのものを止める。KEV は本製品が提供終了・保守終了である可能性を明記したうえで、利用停止かサポート対象への移行を求めているので、長期的にはライブラリを外す方向で計画するのが妥当である。 すぐに外せない場合の緩和は、AjaxPro のエンドポイント（web.config でハンドラに割り当てているパス）への到達をネットワークやリバースプロキシで遮断することである。AjaxPro を実際には使っていないのにハンドラ登録だけが残っている、という状態は珍しくなく、その場合は登録を外すだけで攻撃面が消える。まず「本当に使っているのか」を確かめると、判断が早くなることが多い。 優先度の置き方について。2026-08-28 の再点検で NVD の評価が 8.1（AC:H）から 9.8（AC:L）へ上がったため、「攻撃条件が複雑だから急がなくてよい」という読み方は取れなくなった。実証コードが公開され、攻撃活動の報告があり、KEV にも収載されている。認証不要（PR:N）・利用者の操作不要（UI:N）・攻撃条件の複雑さ Low（AC:L）が揃っているので、外部から到達できる面に置かれているなら是正期限 2026-09-09 を待たずに着手する対象である。 社内からのみ到達できるアプリであれば、ハンドラパスの遮断を先に入れたうえで計画的に外す判断は依然として取れる。ただしその場合も「到達できるのが本当に社内だけか」を、リバースプロキシやロードバランサの設定まで遡って確認してから決めること。AC:L に変わった以上、到達さえすれば成立する前提で考えるほうが安全である。

Ajax.NET Professional Ajax.NET Professional。NuGet パッケージ ajaxpro.2 は全バージョンが該当。michaelschwarz/Ajax.NET-Professional 本体は 21.10.30.1 未満が該当。 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2021-23758）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/09/09 です。早急な対応が推奨されます。