Progress、MOVEit Transferの脆弱性を警告　認証バイパスや権限昇格の恐れ

Progress Softwareは、マネージドファイル転送（MFT）プラットフォーム「MOVEit Transfer」に存在する12件の脆弱性に対する修正をリリースしました。これらのうち複数は、認証バイパスやセッションハイジャック、管理者権限の奪取につながる恐れがあります。

同社は2026年10月15日に「2026年9月版重要セキュリティ情報」を公開し、利用者に直ちにアップグレードするよう呼びかけています。

MOVEit Transferの脆弱性

Progress Softwareが公開した2026年9月版の重要セキュリティ情報によると、影響を受けるのはMOVEit Transferの2025.0.8以前、2025.1.0から2025.1.5まで、および2026.0.0から2026.0.3までのバージョンです。

Progressによれば、これらの脆弱性を悪用されると、不正アクセスや管理者権限の奪取、データ漏えい、サービスの不安定化、リソース枯渇を招く可能性があります。報告されている症状には、セッションハイジャック、データ損失、サービス中断などがあります。

すべてのCVEは、バージョン2025.1.6および2026.0.4で修正されました。提供されたセキュリティ情報の本文では、Progressは実環境での悪用を報告していません。

最も深刻度が高い2件、CVE-2026-89067とCVE-2026-87093は、いずれもCVSSスコアが8.8です。前者は、攻撃者が代替パスまたはチャネルを経由して保護された機能にアクセスできる脆弱性です。後者は重要なリソースに対するパーミッションの設定が不適切で、権限昇格を可能にする恐れがあります。

このほかにも、認証を直接狙う脆弱性が複数あります。認証ステップの欠落、キャプチャ・リプレイ攻撃に対する弱点、認証アルゴリズムの不備、セッション有効期限の不足などです。

これらを連鎖させると、攻撃者がセッションを乗っ取ったり、管理者権限を得たりする可能性があります。LDAPインジェクションとSQLインジェクションの脆弱性は、ディレクトリの改ざんやデータベースの情報漏えいのリスクをさらに高めます。

MOVEitには苦い過去があります。2023年のCl0pによる攻撃キャンペーンでは、MOVEitのSQLインジェクションのゼロデイ脆弱性が悪用され、数千の組織が被害を受けました。そのため、悪用が確認されていなくても、MOVEitの認証に関する脆弱性は優先度の高い問題として扱う必要があります。

脆弱性を報告した研究者として、Leo Oliver氏（ssrfer）が3件を報告しました。ポーランドのRobert BoschのMaciej “mace” Nowak氏が2件、Matt Grover氏、Mateusz Mieczkowski氏、Ryan Vinton氏がそれぞれ1件を報告しています。

AI駆動型プラットフォームのbugbunny.aiは、認証アルゴリズムの不備、LDAPインジェクション、安全でない保存の問題の3件を報告しました。

Progressは、これらの問題を修正する方法は完全版インストーラーによるアップグレードのみであり、アップグレード中はシステムが停止すると説明しています。

管理者はまず、MOVEit Transfer Configユーティリティの［License］タブで現在のバージョンを確認してください。そのうえで、2026.0.0～2026.0.3（18.0.0～18.0.3）は2026.0.4に、2025.1.0～2025.1.5（17.1.0～17.1.5）は2025.1.6にアップグレードします。2025.0.8（17.0.8）以前をお使いの場合は、サポートが継続されているバージョンへ移行する必要があります。

パッチ適用が完了するまでの間、セキュリティチームは、不審なセッションや管理者による設定変更、ログイン失敗の記録がないか、ログを確認することも欠かせません。

有効な保守契約を結んでいる顧客は、Progress Communityからアップグレードをダウンロードできます。契約のない顧客は、Progressの営業担当者またはパートナーに問い合わせてください。アップグレードの手順を記したドキュメントは、Progressのドキュメントサイトに掲載されています。