情報取得日: 2026/07/14／最終確認: 2026/10/16・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-14453 |
|---|---|
| 製品 | Centreon / Centreon Infra Monitoring の centreon-open-tickets モジュール（24.10.14 未満 / 25.10.9 未満） |
| CVSS | 9.6（Critical） CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:H |
| 種別 (CWE) | CWE-1336 Improper Neutralization of Special Elements Used in a Template Engine |
| 登録／公開日 | 2026/07/14 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-14453 |
Centreon の監視基盤 centreon-open-tickets モジュールに Server-Side Template Injection（SSTI）が存在。message_confirm フィールドがサニタイズされずに保存され、Smarty テンプレートエンジンでセキュリティポリシー無効のままレンダリングされるため、認証済みユーザが任意のテンプレート式を注入してサーバ上で任意コードを実行できる。環境変数・認証情報などの秘匿情報漏えいや監視プラットフォームの可用性低下につながる。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 上で Centreon を自前運用している場合、Centreon 公式リポジトリから centreon-open-tickets を **25.10.9** または **24.10.14** へ更新する（中央サーバー側）。
AWS 固有のアドバイザリは無く、ベンダー修正の適用で対応する。更新前に Open Tickets のプロバイダ設定をバックアップする。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine 上の Centreon は、Centreon 公式リポジトリから centreon-open-tickets を **25.10.9** または **24.10.14** へ更新する（中央サーバー側）。
GCP 固有ではなくベンダー修正で対応する。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM 上の Centreon は、Centreon 公式リポジトリから centreon-open-tickets を **25.10.9** または **24.10.14** へ更新する（中央サーバー側）。
Azure 固有ではなくベンダー修正で対応する。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
OS ディストリビューションではなく Centreon の公式配信で対応する。Centreon 公式リポジトリから centreon-open-tickets を **25.10.9** または **24.10.14** へ更新する（中央サーバー側）。
HA 構成では Centreon の HA 向け更新手順に従う。
参照リンク
|
**Centreon の中央サーバーで Centreon Open Tickets を修正版へ更新する。** Centreon のセキュリティ告知（2026年7月8日）が示す修正版は **25.10.9** と **24.10.14** で、修正は Smarty のセキュリティポリシーの強制と、テンプレート評価・機微ファイル開示を防ぐアクセス制御の追加。告知は「サポート中の全バージョンに修正を提供した」としている。 **更新時の注意**（告知の記載）: 独自に作った Open Tickets のプロバイダ設定は更新で失われることがあるので、事前にバックアップを取る。HA 構成では Centreon の HA 向け更新手順に従う。 **更新までのつなぎ**（公式の回避策ではなく一般的な措置）: 悪用には認証済みセッションが必要なので、Centreon 管理画面へのアクセスをネットワークで制限し、低権限アカウントを棚卸しして不要なものを無効にする。
Critical（CVSS 9.6）に分類されるCentreon Centreon Infra Monitoring の centreon-open-tickets モジュール（24.10.14 未満 / 25.10.9 未満）の脆弱性です。Centreon の監視基盤 centreon-open-tickets モジュールに Server-Side Template Injection（SSTI）が存在。message_confirm フィールドがサニタイズされずに保存され、Smarty テンプレートエンジンでセキュリティポリシー無効のままレンダリングされるため、認証済みユーザが任意のテンプレート式を注入してサーバ上で任意コードを実行できる。環境変数・認証情報などの秘匿情報漏えいや監視プラットフォームの可用性低下につながる。
**Centreon の中央サーバーで Centreon Open Tickets を修正版へ更新する。** Centreon のセキュリティ告知（2026年7月8日）が示す修正版は **25.10.9** と **24.10.14** で、修正は Smarty のセキュリティポリシーの強制と、テンプレート評価・機微ファイル開示を防ぐアクセス制御の追加。告知は「サポート中の全バージョンに修正を提供した」としている。 **更新時の注意**（告知の記載）: 独自に作った Open Tickets のプロバイダ設定は更新で失われることがあるので、事前にバックアップを取る。HA 構成では Centreon の HA 向け更新手順に従う。 **更新までのつなぎ**（公式の回避策ではなく一般的な措置）: 悪用には認証済みセッションが必要なので、Centreon 管理画面へのアクセスをネットワークで制限し、低権限アカウントを棚卸しして不要なものを無効にする。
Centreon Centreon Infra Monitoring の centreon-open-tickets モジュール（24.10.14 未満 / 25.10.9 未満） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-14453）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/10/16）。