MOVEit Transfer のクロスドメイン許可設定の不備

情報取得日: 2026/07/23／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-15966
製品	Progress Software / MOVEit Transfer
CVSS	9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
種別 (CWE)	CWE-942 信頼できないドメインを許す過度に緩いクロスドメインポリシー
登録／公開日	2026/07/23
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-15966

概要

Progress MOVEit Transfer に、信頼できないドメインを許してしまうクロスドメインポリシーの欠陥がある。NVD の記述は「Permissive cross-domain security policy with untrusted domains vulnerability in Progress MOVEit Transfer」の一文で、どの設定が広すぎるのかは公開されていない。CWE-942 が指す類型は、応答の Access-Control-Allow-Origin などの許可対象が広すぎ、攻撃者が用意した別サイトのページから、被害者のブラウザに残っている資格情報つきで対象サイトのエンドポイントを呼び、応答内容まで読み取れてしまう、というものである。つまり被害者が攻撃者のページを開くことが着火点になり得る。影響範囲は 2025.1.5 より前の全版と 2026.0.0 以上 2026.0.3 未満で、修正版は 2025.1.5 と 2026.0.3。CVSS は評価元で割れている。NVD（Primary）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の Progress は 7.5 High（CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H）で、Progress の UI:R は被害者の操作が必要という評価である。CISA KEV には未収載、ランサムウェア利用の報告も無い。NVD の vulnStatus は Analyzed。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: パッチあり（アプリ更新）下の表は環境ごとの補足です。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	パッチあり（アプリ更新）	EC2 上の MOVEit Transfer を 2025.1.5 以降または 2026.0.3 以降へ更新する AWS 側のサービスの欠陥ではない。CloudFront の応答ヘッダポリシーで CORS ヘッダを上書きしている構成では、上書き後の値だけを見て安全と判断しないこと。オリジン（EC2）が返す値を直接確認する。参照リンク
GCP	パッチあり（アプリ更新）	Compute Engine 上の MOVEit Transfer を 2025.1.5 以降または 2026.0.3 以降へ更新する Cloud Load Balancing 経由の応答だけでなく、内部 IP へ直接アクセスした場合の応答ヘッダも確認する。ファイアウォールルールでバックエンドへの直接到達を閉じてあるかを併せて見る。参照リンク
Azure	パッチあり（アプリ更新）	Azure VM 上の MOVEit Transfer を 2025.1.5 以降または 2026.0.3 以降へ更新する Application Gateway の書き換えルールでヘッダを整えている場合も、脆弱性そのものはアプリ側に残る。イメージから複製した検証環境が古い版で外部公開されていないかを確認する。参照リンク
Linux	パッチあり（アプリ更新）	ディストリのパッケージ更新の対象外。MOVEit Transfer 本体を修正版へ更新する nginx や Apache を前段に置いている場合、add_header で CORS を制御しても、アプリが返すヘッダが後段で残る設定になっていることがある。curl -I で実際の応答を見て確認する。参照リンク

解決の方向性（パッチ／回避策／代替）

判定は版の確認で足りる。管理コンソールのバージョン表示が 2025.1.5 より前、または 2026.0.0 以上 2026.0.3 未満なら該当する。この種の欠陥は「サーバ側の設定」に見えるので、前段のプロキシや WAF の設定を見て安心してしまいがちだが、影響版が CPE で版番号として示されている以上、実体はアプリケーション側の実装であり、更新しない限り残る。ノードの洗い出しは他の MOVEit の脆弱性と同じで、DMZ 側と内部の管理用、クラスタの全ノード、待機系、停止し忘れた旧版までを対象にする。すぐに更新できない場合、公開情報に個別の緩和策の記載は無い。取り得る手は経路を細くすることで、（1）ポータルに到達できる元を取引先や社内の固定 IP に絞る、（2）前段のリバースプロキシで CORS 関連の応答ヘッダを検査し、想定していないオリジンを許可する応答が出ていないかを実際にリクエストして確かめる、（3）利用者側にはファイル転送ポータルの操作中に他サイトを踏まないよう周知する、あたりになる。（2）は自分の構成で応答ヘッダを上書きできるなら緩和になるが、アプリ側の実装が別経路で許可を返している可能性を消せないので、更新の代わりにはならない。完了条件は、全ノードが 2025.1.5 以降または 2026.0.3 以降になっていること、その1点である。KEV 未収載で是正期限は無いが、ブラウザ経由で成立し得る欠陥は社内利用者を踏み台にされる形になるため、外部公開しているポータルから順に上げていくのが妥当である。

よくある質問（CVE-2026-15966）

CVE-2026-15966（MOVEit Transfer）の影響は？

Critical（CVSS 9.8）に分類されるProgress Software MOVEit Transferの脆弱性です。Progress MOVEit Transfer に、信頼できないドメインを許してしまうクロスドメインポリシーの欠陥がある。NVD の記述は「Permissive cross-domain security policy with untrusted domains vulnerability in Progress MOVEit Transfer」の一文で、どの設定が広すぎるのかは公開されていない。CWE-942 が指す類型は、応答の Access-Control-Allow-Origin などの許可対象が広すぎ、攻撃者が用意した別サイトのページから、被害者のブラウザに残っている資格情報つきで対象サイトのエンドポイントを呼び、応答内容まで読み取れてしまう、というものである。つまり被害者が攻撃者のページを開くことが着火点になり得る。影響範囲は 2025.1.5 より前の全版と 2026.0.0 以上 2026.0.3 未満で、修正版は 2025.1.5 と 2026.0.3。CVSS は評価元で割れている。NVD（Primary）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の Progress は 7.5 High（CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H）で、Progress の UI:R は被害者の操作が必要という評価である。CISA KEV には未収載、ランサムウェア利用の報告も無い。NVD の vulnStatus は Analyzed。

CVE-2026-15966 の対応方法・回避策は？

自分の環境が CVE-2026-15966 の影響を受けるか確認するには？

Progress Software MOVEit Transfer を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-15966）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。