ASUSは、Control Center Express Agentのセキュリティアップデートを公開しました。今回対処されたのは、認証の欠如に関連する深刻度の高い脆弱性CVE-2026-19397です。
SecurityProducts & Services
この脆弱性を悪用すると、認証を持たない近隣の攻撃者が、エージェントへ直接接続することで影響を受けるホストの制御を奪える可能性があります。この問題はバージョン1.7.24より前のバージョンに影響し、2026年9月8日に公開・更新されました。
ベンダーが公開したCVEレコードは、明示的にroot権限でのコード実行を確認しているわけではなく、ホスト制御に焦点を当てたものです。しかし、エージェントがオペレーティングシステム上で高い権限を持って動作する環境では、この欠陥は特に重大な意味を持ちます。
管理者は、エージェントの侵害がデバイスの完全な乗っ取りにつながる可能性があるものとして扱うべきです。
ASUS Control Centerの深刻な脆弱性
CVE-2026-19397は、CWE-306「重要機能に対する認証の欠如」に分類されています。この状態は、ASUS Control Center Express Agent内のセキュリティ上重要な機能に対して、呼び出し元の身元を確認せずにアクセスできてしまう場合に発生します。
公開された説明によると、この脆弱性を悪用するには対象システム上でのアクティブなログインセッションが必要であり、さらに攻撃者は近隣に位置している必要があります。これは通常、同一のローカルネットワーク内、あるいは直接到達可能な別のネットワーク位置からのアクセスを指します。
公開されているCVSS v4基本値は7.7で、「高」に格付けされています。この公開情報にはエクスプロイトの詳細、対象ネットワークポート、リクエストの手順、あるいは実際の悪用が確認された事例についての記載はありませんが、こうした概念実証(PoC)の不在をもってリスクが低いと誤解してはいけません。
管理プレーンへの認証なしのアクセスが可能であることは、攻撃者が企業のLAN、ゲストセグメント、あるいは適切に分離されていない管理用ネットワークに足がかりを得た後の活動を容易にする恐れがあります。
影響を受ける組織は、ASUS Control Center Express Agentがインストールされているエンドポイントを直ちに特定し、バージョン1.7.24以降へアップグレードすることが推奨されます。
セキュリティチームはまた、エージェントがアクセス可能なインターフェース上でリッスンしていないか確認し、ホストファイアウォールとネットワークセグメンテーションによってアクセスを制限し、管理機能が不要な箇所ではこのコンポーネントを無効化または削除すべきです。脆弱性の説明にはアクティブなユーザーセッションの存在が条件として含まれているため、そうしたセッションを持つシステムを優先的に対処してください。
防御担当者は、エージェントを実行しているシステムへの予期しない直接接続、そのサービスコンテキストから生成された異常な子プロセス、新規の特権アカウント、リモートアクセス設定の変更、セキュリティ設定への不審な変更がないか、エンドポイントおよびネットワークのテレメトリを確認する必要があります。
インシデント対応担当者は、侵害が疑われるホストを再構築または修復する前に、サービス設定、アクティブな接続、プロセスツリー、関連するWindowsイベントログを保全しておくべきです。
同日、ASUSはArmory Crate Appのバージョン6.5.7.0までを対象とした別のアドバイザリも公開しており、こちらはCVE-2026-12962、CVE-2026-18023、CVE-2026-16003からCVE-2026-16006、そしてCVE-2026-75808からCVE-2026-75811までの10件のCVEをカバーしています。
これは別製品に関する通知ではありますが、企業は同じASUSソフトウェアの資産管理・パッチ検証サイクルにこれも含めるべきです。
Software
当面の最優先事項は明確です。Control Center Express Agentにパッチを適用し、そのネットワーク露出を制限し、ユーザーがログインしている間に認証を持たない者が影響を受けるホストと接触した形跡がないか調査することです。
アクティブなマルウェアやフィッシングの発生から24時間以内に、SOCを最新の状態に保ちましょう。ANYRUNを試して早期検知でインシデントを未然に防ぐ。
翻訳元: https://gbhackers.com/asus-control-center-critical-flaw/