Progress社は、MOVEit Transfer に12件のセキュリティ脆弱性があることを公表しました。悪用されると、機密情報の漏えいや認証制御の無効化、管理者権限への不正アクセスにつながる恐れがあります。
2026年9月のセキュリティ情報では、認証、認可、セッション管理、入力処理、機密情報の保存に関する欠陥が報告されています。CVSSスコアは7.2から8.8の範囲です。
影響を受けるのは、MOVEit Transfer 2025.0.8以前、2025.1.0から2025.1.5まで、および2026.0.0から2026.0.3までのバージョンです。
Progress社は、悪用された場合、セッションハイジャック、データ損失、サービス中断、リソース枯渇、機密情報の漏えいを招く恐れがあると警告しています。
公表された中で最も高いCVSSスコア8.8が付けられたのは、2件の脆弱性です。CVE-2026-89067は代替パスまたは代替チャネルによる認証回避、CVE-2026-87093は重要なリソースに対する不適切な権限の割り当てに関するものです。
前者は認証の強制、後者はリソースの権限設定にそれぞれ影響します。
CVE-2026-89068（スコア8.1）は、重要な認証ステップが欠落している問題です。そのほかの認証関連の欠陥としては、キャプチャリプレイによる回避を許すCVE-2026-89070と、認証アルゴリズムの実装不備であるCVE-2026-89077があり、いずれもスコアは7.5です。
これらの分類からは、MFAなどの保護機能が回避される懸念が浮かびます。ただし、セキュリティ情報はMFAの回避を明確に確認しておらず、悪用に必要な前提条件も説明していません。
セッションのセキュリティにも影響があります。CVE-2026-89073はセッション有効期限の設定が不十分な脆弱性で、スコアは7.5です。同じく7.5のCVE-2026-89072は、不適切な認可に関する問題です。
アドバイザリは、想定される影響としてセッションハイジャックと不正アクセスを挙げています。ただし、記載された影響のすべてを個々の脆弱性に対応付けてはいません。
残る脆弱性は、認証以外にも攻撃対象領域を広げるものです。CVE-2026-89069はクロスサイトスクリプティングの脆弱性で、スコアは8.0です。CVE-2026-89074はUnicodeエンコードの不適切な処理に関するもので、スコアは7.5となっています。
CVE-2026-89071はLDAPインジェクションに対処するもので、スコアは7.5です。CVE-2026-89075は機密情報の不適切な保存に関する問題で、スコアは7.3です。
CVE-2026-89076はSQLインジェクションの脆弱性で、スコアは7.2です。Progress社は、技術的な悪用の詳細を明らかにしておらず、これらの脆弱性をつなぐ攻撃チェーンについても説明していません。
セキュリティ情報で謝辞を受けた研究者は、ssrferとして知られるLeo Oliver氏、Bosch社の研究者Maciej “mace” Nowak氏、Matt Grover氏、Mateusz Mieczkowski氏、Ryan Vinton氏、bugbunny.aiです。これらの脆弱性が実際の攻撃で悪用されているかどうかについて、セキュリティ情報は言及していません。
Progress社は、12件の脆弱性すべてをMOVEit Transfer 2025.1.6および2026.0.4で修正しました。影響を受ける2025.1または2026.0ブランチを使用している場合は、対応する修正版へのアップグレードが必要です。2025.0.8以前を使用している環境は、サポート対象のパッチ適用済みバージョンへ移行する必要があります。
同社によると、完全版インストーラーによるアップグレードが唯一の対処方法です。作業中はシステムの停止が必要になると警告しています。管理者は、MOVEit Transfer Configユーティリティの［License］タブで、インストール済みのバージョンを確認できます。
有効な保守契約を結んでいる顧客は、Progress Communityポータルからアップグレードを入手できます。MOVEit Cloud環境にはすでにパッチが適用されており、顧客側で追加の対応は必要ありません。
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/multiple-moveit-transfer-flaws/
