情報取得日: 2026/07/23／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-15967 |
|---|---|
| 製品 | Progress Software / MOVEit Transfer |
| CVSS | 9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-613 セッションの有効期限切れが不十分 |
| 登録／公開日 | 2026/07/23 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-15967 |
Progress MOVEit Transfer に、認証済みセッションの有効期限が適切に切れない欠陥がある。NVD に載っている記述は「Insufficient session expiration vulnerability in Progress MOVEit Transfer」という一文だけで、攻撃の具体的な手順は公開されていない。CWE-613 が指す類型は、セッション識別子がログアウトやパスワード変更などの事象で無効化されず、第三者の手に渡った識別子を後から再利用できてしまう、というものである。影響範囲は CPE に明示されており、2025.1.5 より前のすべての版と、2026.0.0 以上 2026.0.3 未満。修正版は 2025.1.5 と 2026.0.3 にあたる。CVSS は評価元で大きく割れている。NVD（Primary、nvd@nist.gov）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA である Progress（security@progress.com）は 7.5 High（CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H）としている。差は攻撃条件の複雑さ（AC:L か AC:H）と利用者の関与（UI:N か UI:R）の見方で、Progress は前提が揃わないと成立しないとみている。CISA KEV には未収載で、悪用の確認情報もランサムウェア利用の報告も無い。NVD の vulnStatus は Analyzed。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 上で運用している MOVEit Transfer を 2025.1.5 以降または 2026.0.3 以降へ更新する
AWS のマネージドサービス側の欠陥ではなく、利用者が導入したアプリケーションの版の問題。前段に ALB や CloudFront を置いていても本体の欠陥は塞がらないので、そこでできるのは到達元をセキュリティグループやリスナールールで絞ることまでである。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine 上の MOVEit Transfer を 2025.1.5 以降または 2026.0.3 以降へ更新する
GCP 側のサービスの欠陥ではない。Cloud Load Balancing の背後に置いている場合は Cloud Armor で到達元を絞れるが、それは緩和にとどまる。インスタンステンプレートから作り直す運用なら、テンプレート側のイメージも更新しないと古い版が復活する。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure VM 上の MOVEit Transfer を 2025.1.5 以降または 2026.0.3 以降へ更新する
Application Gateway や Azure Firewall を前段に置いていても本体は塞がらない。NSG で取引先の IP に限定し、管理画面は Bastion 経由に寄せる。バックアップから戻した待機系が古い版のまま残っていないかを確認する。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
ディストリのパッケージ更新では直らない。MOVEit Transfer 本体を修正版へ更新する
Linux 上に nginx などのリバースプロキシを立てている構成でも、欠陥は MOVEit Transfer 本体にあるためプロキシの更新では塞がらない。プロキシ側でできるのは到達元の制限とアクセスログの保全までである。
参照リンク
|
該当判定は版の確認だけで足りる。MOVEit Transfer の管理コンソールに出ているバージョン番号を見て、2025.1.5 より前、あるいは 2026.0.0 以上 2026.0.3 未満なら該当する。見落としが出やすいのは、本番の1台しか見ていないケースである。DMZ 側のホストと内部の管理用ホスト、クラスタ構成の全ノード、検証環境や災対環境の待機系、それに使っていないが起動したままの旧バージョンまで含めて洗う。合わせて、取引先向けに公開している FQDN を一覧にして、想定外に外へ出ているホストが無いかも見ておくとよい。すぐに更新できない場合、この欠陥そのものを設定で無効化する手段は公開情報からは確認できないため、経路を絞る方向でしのぐことになる。転送用のポータルは取引先の固定 IP からのみ到達できるようにする、管理系の画面はインターネットに出さず VPN か踏み台経由に限定する、多要素認証を有効にして識別子の再利用だけでは業務操作まで到達できないようにする、といった対処である。加えて、古いセッションが有効なまま残っている可能性を前提に、更新の前後で利用者のパスワードを変更し、サービスを再起動してセッションを一掃しておくと、残存トークンを再利用される窓が閉じる。何をすれば終わりかというと、（1）棚卸しした全ノードが 2025.1.5 以降または 2026.0.3 以降になっていること、（2）更新後にセッションを一掃したこと、この2点が確認できた時点で完了である。KEV 未収載なので是正期限に追われる話ではないが、MOVEit Transfer は 2023 年の CVE-2023-34362 で大規模な悪用を受けた領域の製品であり、外部公開しているなら更新を後回しにしない判断が妥当である。
Critical（CVSS 9.8）に分類されるProgress Software MOVEit Transferの脆弱性です。Progress MOVEit Transfer に、認証済みセッションの有効期限が適切に切れない欠陥がある。NVD に載っている記述は「Insufficient session expiration vulnerability in Progress MOVEit Transfer」という一文だけで、攻撃の具体的な手順は公開されていない。CWE-613 が指す類型は、セッション識別子がログアウトやパスワード変更などの事象で無効化されず、第三者の手に渡った識別子を後から再利用できてしまう、というものである。影響範囲は CPE に明示されており、2025.1.5 より前のすべての版と、2026.0.0 以上 2026.0.3 未満。修正版は 2025.1.5 と 2026.0.3 にあたる。CVSS は評価元で大きく割れている。NVD（Primary、nvd@nist.gov）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA である Progress（security@progress.com）は 7.5 High（CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H）としている。差は攻撃条件の複雑さ（AC:L か AC:H）と利用者の関与（UI:N か UI:R）の見方で、Progress は前提が揃わないと成立しないとみている。CISA KEV には未収載で、悪用の確認情報もランサムウェア利用の報告も無い。NVD の vulnStatus は Analyzed。
該当判定は版の確認だけで足りる。MOVEit Transfer の管理コンソールに出ているバージョン番号を見て、2025.1.5 より前、あるいは 2026.0.0 以上 2026.0.3 未満なら該当する。見落としが出やすいのは、本番の1台しか見ていないケースである。DMZ 側のホストと内部の管理用ホスト、クラスタ構成の全ノード、検証環境や災対環境の待機系、それに使っていないが起動したままの旧バージョンまで含めて洗う。合わせて、取引先向けに公開している FQDN を一覧にして、想定外に外へ出ているホストが無いかも見ておくとよい。すぐに更新できない場合、この欠陥そのものを設定で無効化する手段は公開情報からは確認できないため、経路を絞る方向でしのぐことになる。転送用のポータルは取引先の固定 IP からのみ到達できるようにする、管理系の画面はインターネットに出さず VPN か踏み台経由に限定する、多要素認証を有効にして識別子の再利用だけでは業務操作まで到達できないようにする、といった対処である。加えて、古いセッションが有効なまま残っている可能性を前提に、更新の前後で利用者のパスワードを変更し、サービスを再起動してセッションを一掃しておくと、残存トークンを再利用される窓が閉じる。何をすれば終わりかというと、（1）棚卸しした全ノードが 2025.1.5 以降または 2026.0.3 以降になっていること、（2）更新後にセッションを一掃したこと、この2点が確認できた時点で完了である。KEV 未収載なので是正期限に追われる話ではないが、MOVEit Transfer は 2023 年の CVE-2023-34362 で大規模な悪用を受けた領域の製品であり、外部公開しているなら更新を後回しにしない判断が妥当である。
Progress Software MOVEit Transfer を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-15967）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。