脆弱性対応ウォッチ重大・クリティカル脆弱性のクラウド別対応まとめ
最新更新履歴CriticalHighAWSGCPAzureLinux
Critical CVSS 9.6 NEW
CVE-2026-14453

Centreon centreon-open-tickets モジュールの Server-Side Template Injection（SSTI）による RCE

情報取得日: 2026/07/14／最終確認: 2026/07/22・本ページは公開情報の非公式まとめです

CVE IDCVE-2026-14453
製品Centreon / Centreon centreon-open-tickets モジュール
CVSS9.6（Critical）
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:H
種別 (CWE)CWE-1336 Improper Neutralization of Special Elements Used in a Template Engine
登録／公開日2026/07/14
出典https://nvd.nist.gov/vuln/detail/CVE-2026-14453

概要

Centreon の監視基盤 centreon-open-tickets モジュールに Server-Side Template Injection（SSTI）が存在。message_confirm フィールドがサニタイズされずに保存され、Smarty テンプレートエンジンでセキュリティポリシー無効のままレンダリングされるため、認証済みユーザが任意のテンプレート式を注入してサーバ上で任意コードを実行できる。環境変数・認証情報などの秘匿情報漏えいや監視プラットフォームの可用性低下につながる。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

環境対応状況対応方法・備考
AWS (ECS/EC2) 情報確認中
Centreon を EC2 等で自前運用している場合、公式パッチ適用版へアップデート。SG で管理UIへのアクセス元を制限。
AWS固有アドバイザリではなくベンダ修正の適用で対応。
参照リンク
GCP 情報確認中
Compute Engine 上の Centreon をベンダ修正版へ更新。ファイアウォールで管理UIアクセスを限定。
GCP固有ではなくベンダ修正で対応。
参照リンク
Azure 情報確認中
Azure VM 上の Centreon をベンダ修正版へ更新。NSG で管理UIアクセスを限定。
Azure固有ではなくベンダ修正で対応。
参照リンク
Linux 情報確認中
Centreon 公式リポジトリからパッケージを更新し、centreon-open-tickets を修正版へ。GitHub Advisory（GHSA）で対象バージョンを確認。
OSディストリではなくCentreon公式配信で対応。
参照リンク

CVE-2026-14453 の対応手順（環境別）

確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。

  1. AWS 環境での対応
    Centreon を EC2 等で自前運用している場合、公式パッチ適用版へアップデート。SG で管理UIへのアクセス元を制限。（AWS固有アドバイザリではなくベンダ修正の適用で対応。） 参照
  2. GCP 環境での対応
    Compute Engine 上の Centreon をベンダ修正版へ更新。ファイアウォールで管理UIアクセスを限定。（GCP固有ではなくベンダ修正で対応。） 参照
  3. Azure 環境での対応
    Azure VM 上の Centreon をベンダ修正版へ更新。NSG で管理UIアクセスを限定。（Azure固有ではなくベンダ修正で対応。） 参照
  4. Linux 環境での対応
    Centreon 公式リポジトリからパッケージを更新し、centreon-open-tickets を修正版へ。GitHub Advisory（GHSA）で対象バージョンを確認。（OSディストリではなくCentreon公式配信で対応。） 参照

解決の方向性（パッチ／回避策／代替）

Centreon の公式修正版へアップデートし、centreon-open-tickets モジュールを最新に更新する。Smarty のセキュリティポリシーを有効化した版へ移行する。Centreon 管理画面へのアクセスをネットワークで制限し、低権限アカウントの棚卸しと最小権限化を行う。

よくある質問（CVE-2026-14453）

CVE-2026-14453（Centreon centreon-open-tickets モジュール）の影響は？

Critical（CVSS 9.6）に分類されるCentreon Centreon centreon-open-tickets モジュールの脆弱性です。Centreon の監視基盤 centreon-open-tickets モジュールに Server-Side Template Injection（SSTI）が存在。message_confirm フィールドがサニタイズされずに保存され、Smarty テンプレートエンジンでセキュリティポリシー無効のままレンダリングされるため、認証済みユーザが任意のテンプレート式を注入してサーバ上で任意コードを実行できる。環境変数・認証情報などの秘匿情報漏えいや監視プラットフォームの可用性低下につながる。

CVE-2026-14453 の対応方法・回避策は？

Centreon の公式修正版へアップデートし、centreon-open-tickets モジュールを最新に更新する。Smarty のセキュリティポリシーを有効化した版へ移行する。Centreon 管理画面へのアクセスをネットワークで制限し、低権限アカウントの棚卸しと最小権限化を行う。

自分の環境が CVE-2026-14453 の影響を受けるか確認するには？

Centreon Centreon centreon-open-tickets モジュール を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-14453）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

参考情報（出典）

本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/22）。

ベンダー公式・PSIRT アドバイザリ
NVD（CVE 基本情報・CVSS スコアの出典）
免責: 本ページは CISA KEV・NVD・各ベンダー公式アドバイザリ等の公開情報をもとにした非公式まとめです。修正バージョンや対応可否は変更される場合があります。実際の対応は必ず 出典元および各ベンダー公式情報・自環境で確認してください。

« 一覧に戻る