情報取得日: 2026/02/24／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2026-25108 |
|---|---|
| 製品 | Soliton Systems / FileZen |
| CVSS | 8.8（High） CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-78 OS コマンドインジェクション |
| 登録／公開日 | 2026/02/24 |
| KEV 期限 | 2026/03/17 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2026-25108 |
国内で広く使われているファイル転送アプライアンス FileZen に OS コマンドインジェクションがある。ウイルスチェックオプション（Antivirus Check Option）を有効にしている場合、ログイン済みの利用者が細工した HTTP リクエストを送ることで、任意の OS コマンドを実行できる。攻撃の前提は「ログイン済み」であることだが、FileZen は社外とのファイル受け渡しのために外部の取引先へアカウントを配ることが多く、また過去に認証を回避する脆弱性が悪用された経緯もあるため、低権限アカウント1つで機器全体を掌握され得る構図として扱う必要がある。影響は 4.2.1 以上 5.0.11 未満（NVD の CPE 範囲）。CVSS は評価元でわずかに分かれており、NVD（Primary）は CVSS 3.1 で 8.8 High（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）、CNA の JPCERT/CC は CVSS 4.0 で 8.7 High と CVSS 3.0 で 8.8 High を併記している。CVSS 3.x では両者一致しており、4.0 の 8.7 は評価体系の違いによるもので、実質的な認識の差ではない。NVD の vulnStatus は Analyzed。CISA KEV には 2026-02-24 に収載され、是正期限は 2026-03-17。ランサムウェア利用は Unknown（不明）。日本語の一次情報として JVN の JVN84622767 とソリトンのサポート情報が公開されている。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | 対象外 |
対象外（FileZen はベンダー提供のアプライアンス製品で、AWS 側に修正対象の資産は無い）
AWS 上のワークロードから FileZen を利用している場合でも、修正はアプライアンス側のファームウェア更新で行う。
参照リンク
|
| GCP | 対象外 |
対象外（GCP 側に修正対象の資産は無い）
NVD の CPE は soliton:filezen のみで、クラウド事業者の製品は対象に含まれない。
参照リンク
|
| Azure | 対象外 |
対象外（Azure 側に修正対象の資産は無い）
対応はアプライアンスのファームウェア更新。クラウド側で行う作業は無い。
参照リンク
|
| Linux | ベンダーFW更新 |
FileZen のファームウェアを 5.0.11 以降へ更新する（ソリトンのサポート情報・JVN84622767 を参照）
アプライアンス内部は Linux ベースだが、ディストリのパッケージ更新では解消しない。ベンダー提供のファームウェアで更新する。暫定緩和はウイルスチェックオプションの無効化と到達範囲の限定。
参照リンク
|
判定は3点を確認する。第一に FileZen のファームウェア版が 4.2.1 以上 5.0.11 未満に入るか（管理画面のバージョン表示）。第二にウイルスチェックオプションを有効にしているか。NVD の記述はこのオプションが有効な場合に成立すると明記しているため、無効ならこの経路では攻撃されない（ただし無効化を恒久策にはしない）。第三にアカウントの棚卸しで、外部の取引先や退職者に払い出したアカウントが残っていないかを見る。この CVE は認証済みユーザーを前提とするため、生きているアカウントの数がそのまま攻撃者の候補数になる。対応はソリトンのサポート情報と JVN の記載に従って 5.0.11 以降へ更新することである。国内アプライアンスは保守契約経由でのファームウェア提供になることが多いので、更新手順と停止時間の調整を先に押さえる。更新までの緩和は、ウイルスチェックオプションを一時的に無効化する（機能低下を受け入れる）、管理画面と利用者画面への到達を社内・VPN 経由に限定する、外部取引先向けアカウントを一時停止する、の3方向である。KEV 収載済み、つまり実際に悪用されているため、更新後の確認まで含めて考える必要がある。具体的には、機器上に不審なファイルやスケジュール実行が追加されていないか、管理者アカウントが増えていないか、アップロードされたファイルが外部へ持ち出された痕跡がないかをログで確認し、機器が保持している認証情報（LDAP 連携のバインドアカウント、SMTP、管理者パスワード）を再発行する。FileZen は過去にも悪用事例があり、機器そのものが侵害されると社内ネットワークへの入口になるため、ネットワーク側での隔離状況（DMZ に置いているか、内部への通信が絞られているか）もこの機会に見直す。完了条件は、（1）5.0.11 以降へ更新、（2）アカウント棚卸しと外部到達範囲の見直し、（3）痕跡確認と資格情報の再発行が済んでいること。KEV 是正期限 2026-03-17 は経過している。
High（CVSS 8.8）に分類されるSoliton Systems FileZenの脆弱性です。国内で広く使われているファイル転送アプライアンス FileZen に OS コマンドインジェクションがある。ウイルスチェックオプション（Antivirus Check Option）を有効にしている場合、ログイン済みの利用者が細工した HTTP リクエストを送ることで、任意の OS コマンドを実行できる。攻撃の前提は「ログイン済み」であることだが、FileZen は社外とのファイル受け渡しのために外部の取引先へアカウントを配ることが多く、また過去に認証を回避する脆弱性が悪用された経緯もあるため、低権限アカウント1つで機器全体を掌握され得る構図として扱う必要がある。影響は 4.2.1 以上 5.0.11 未満（NVD の CPE 範囲）。CVSS は評価元でわずかに分かれており、NVD（Primary）は CVSS 3.1 で 8.8 High（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）、CNA の JPCERT/CC は CVSS 4.0 で 8.7 High と CVSS 3.0 で 8.8 High を併記している。CVSS 3.x では両者一致しており、4.0 の 8.7 は評価体系の違いによるもので、実質的な認識の差ではない。NVD の vulnStatus は Analyzed。CISA KEV には 2026-02-24 に収載され、是正期限は 2026-03-17。ランサムウェア利用は Unknown（不明）。日本語の一次情報として JVN の JVN84622767 とソリトンのサポート情報が公開されている。
判定は3点を確認する。第一に FileZen のファームウェア版が 4.2.1 以上 5.0.11 未満に入るか（管理画面のバージョン表示）。第二にウイルスチェックオプションを有効にしているか。NVD の記述はこのオプションが有効な場合に成立すると明記しているため、無効ならこの経路では攻撃されない（ただし無効化を恒久策にはしない）。第三にアカウントの棚卸しで、外部の取引先や退職者に払い出したアカウントが残っていないかを見る。この CVE は認証済みユーザーを前提とするため、生きているアカウントの数がそのまま攻撃者の候補数になる。対応はソリトンのサポート情報と JVN の記載に従って 5.0.11 以降へ更新することである。国内アプライアンスは保守契約経由でのファームウェア提供になることが多いので、更新手順と停止時間の調整を先に押さえる。更新までの緩和は、ウイルスチェックオプションを一時的に無効化する（機能低下を受け入れる）、管理画面と利用者画面への到達を社内・VPN 経由に限定する、外部取引先向けアカウントを一時停止する、の3方向である。KEV 収載済み、つまり実際に悪用されているため、更新後の確認まで含めて考える必要がある。具体的には、機器上に不審なファイルやスケジュール実行が追加されていないか、管理者アカウントが増えていないか、アップロードされたファイルが外部へ持ち出された痕跡がないかをログで確認し、機器が保持している認証情報（LDAP 連携のバインドアカウント、SMTP、管理者パスワード）を再発行する。FileZen は過去にも悪用事例があり、機器そのものが侵害されると社内ネットワークへの入口になるため、ネットワーク側での隔離状況（DMZ に置いているか、内部への通信が絞られているか）もこの機会に見直す。完了条件は、（1）5.0.11 以降へ更新、（2）アカウント棚卸しと外部到達範囲の見直し、（3）痕跡確認と資格情報の再発行が済んでいること。KEV 是正期限 2026-03-17 は経過している。
Soliton Systems FileZen を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-25108）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/03/17 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。