Sophos UTMの脆弱性（CVE-2026-118633）｜認証なしでroot権限のおそれ
公開
Sophos は2026年10月28日、ファイアウォール・UTM 製品「Sophos UTM」の脆弱性（CVE-2026-118633）を公表し、深刻度を「Critical（重大）」としました（Sophos の2026年10月28日のセキュリティアドバイザリ）。 メールのプロキシでスキャンを有効にしている場合、認証なしにリモートから root 権限でコードを実行されるおそれがあります。 Sophos UTM はサポートが終わった製品のため、修正のパッチは自動では配られず、利用者が手動で当てる必要があります。
公表された内容
- 対象：Sophos UTM のすべての版（Sophos。CVE の記録では SG UTM 9.724 以下）
- 条件：メールのプロキシを使い、スキャンを有効にしている場合。攻撃者が数分間くり返し攻撃して競合状態（レースコンディション）に勝つ必要があるとしています
- 影響：パストラバーサルの脆弱性で、認証なしにリモートから root 権限で任意のコードを実行されるおそれ
- CVSS：v3.1 で 8.1、v4.0 で 9.2（いずれも基本値。Sophos が CVE に登録した値）
- 悪用の有無：アドバイザリには悪用についての記載がありません。バグバウンティ（報奨金制度）で報告されたものとしています
- 修正：Sophos のサポート記事（KBA-000049692）の手順で、パッチを手動で入れる。または、サポートが続いている「Sophos Firewall」へ移る
- 回避策：示されていません
- Sophos は、UTM のメール保護（Email Protection）の機能を使っている利用者に、できるだけ早くパッチを当てるよう求めています
中小企業が今日からできること
- 社内の出入口の機器を確かめる：ファイアウォール・UTM の機器の製品名を見て、Sophos UTM（SG シリーズなど）が残っていないかを確かめる
- メールのプロキシを使っているか確かめる：Sophos UTM を使っているなら、メール保護（SMTP のプロキシとスキャン）を有効にしているかを管理画面で見る。使っているなら、手順に沿ってパッチを手動で入れる
- 保守を頼んでいる会社に連絡する：設定や更新を販売店・保守会社に任せているなら、パッチを当てる日と、サポートの続く機器へ替える予定を確かめる
- サポートの終わった機器を書き出す：ファイアウォール・VPN・NAS・ルーターで、製品の会社のサポートが終わったものを書き出し、替える時期を決める（サポートが終わると、修正が出ないか、自動で届かなくなる）
- パッチのあとに記録を見る：見慣れない再起動・設定の変更・管理者のログインがないかを確かめる