Trend Micro Apex One（オンプレミス）の相対パストラバーサル（悪用確認済み・KEV）

Medium（CVSS 6.7）に分類されるTrend Micro Apex One（オンプレミス版）サーバー ※ Apex One as a Service / Vision One Endpoint Security - Standard Endpoint Protection は本CVEの対象外の脆弱性です。エンドポイント保護製品 Apex One のオンプレミス版サーバーに、相対パストラバーサルの欠陥がある。攻撃者はサーバー上のキーテーブルを改ざんし、そこへ悪意あるコードを仕込んで**配下のエージェントへ配布**できる。エンドポイント保護製品そのものが、全端末へのコード配布経路として悪用される構図である。 悪用の前提条件は重い。NVD の CVSS 3.1 基本値 6.7（AV:L/AC:H/PR:H）が示すとおり、攻撃者は Apex One サーバーにアクセスでき、かつ**別の手段で既に管理者の認証情報を入手している**必要がある。単独で侵入口になる種類の脆弱性ではなく、侵入後の被害を一段階拡大させる脆弱性である。 それでも CISA は 2026年5月21日に KEV カタログへ追加しており、JVN も「既に実際の攻撃で悪用されている」と明記している。前提条件が重いことと、実際に使われていることは矛盾しない。管理者権限を取られた後の横展開手段として現実に選ばれている、と読むべきである。 対象はオンプレミス版のみで、Apex One as a Service と Vision One Endpoint Security - Standard Endpoint Protection は本CVEの影響を受けない（同時に公開された別のCVEでは影響を受ける）。

まず自組織が Apex One の**オンプレミス版**を運用しているかを切り分ける。SaaS 版（as a Service）であれば本CVEの対象外である。 オンプレミス版を運用している場合、JVN の記載では **サーバー側が Service Pack 1 Critical Patch B18012、エージェント側が Build 14.0.18012** への更新が必要とされている。JPCERT の注意喚起も「サーバーとセキュリティエージェントの双方にパッチを適用する」ことを求めており、**サーバーだけの適用では不十分**である点に注意する。正確なパッチ番号は Trend Micro の公式ソリューション記事（KA-0023430）で最終確認すること。 悪用には管理者権限が前提であるため、対策はパッチ適用だけでは終わらない。Apex One サーバーの管理者アカウントの棚卸し、認証情報の使い回しの有無、管理コンソールへの到達経路の制限を併せて見直す。既に KEV 収載から2か月以上が経過しており、是正期限（2026年6月4日）も過ぎているため、未適用の環境は侵害の有無を前提に調査する。 エージェントへ配布された内容が改ざんされていないか、想定外の配布ジョブが実行されていないかをサーバーのログで確認する。

Trend Micro Apex One（オンプレミス版）サーバー ※ Apex One as a Service / Vision One Endpoint Security - Standard Endpoint Protection は本CVEの対象外 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-34926）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/06/04 です。推奨される対応: ベンダーの指示に従って緩和策を適用する。クラウドサービスについては CISA BOD 22-01 の指針に従い、緩和策が無い場合は製品の使用を停止する。