Memcached の脆弱性 CVE-2026-47783 が FIX：SASL 欠陥による有効なユーザー名の推測

Critical Memcached SASL Vulnerability Let Attackers Infer Valid Usernames

2026/05/26 CyberSecurityNews — Memcached に存在する、SASL 認証メカニズムにおけるタイミング・サイドチャネルの脆弱性 CVE-2026-47783 が明らかにされた。この脆弱性により、攻撃者が有効なユーザー名を推測できる可能性があると、セキュリティ・コミュニティに懸念が生じている。

Memcached SASL の脆弱性

この脆弱性は、SASL 認証時の応答時間の差異に起因する。脆弱性 CVE-2026-47783 の影響が及ぶ範囲は、バージョン 1.6.42 未満であり、SASL を用いた認証プロセスのタイミング処理で一貫性が欠落する。その原因は、有効なユーザー名が指定された場合に実行される追加処理にあり、無効なユーザー名の場合と比較して測定可能な時間差が発生する。

したがって、認証試行の繰り返しを自動化する攻撃者は、応答時間を精密に測定／分析することで有効なユーザー名リストを構築できる。この種のサイドチャネル攻撃は、認証情報への直接アクセスを必要とせず、処理時間のわずかな差異を悪用することから、実環境での検知が特に困難となる。

その結果として、ブルートフォース攻撃／クレデンシャル・スタッフィング攻撃のハードルが大幅に引き下げられてしまう。この脆弱性により、パスワードが漏洩するわけではないが、偵察が容易になるため、認証モデル全体の弱体化が引き起こされる。

特に、Memcached が信頼されていないネットワークに公開されている環境や、アクセス制御が不十分な設定が存在する環境では、この脆弱性がより広範な攻撃チェーンの一部として悪用される可能性がある。Memcached を利用するクラウド／マイクロサービス環境においても、セキュリティ対策が不十分な場合にはリモートから悪用される恐れがある。

2026年5月18日にリリースされた Memcached 1.6.42 では、CVE-2026-47783 の修正に加えて、複数の深刻なバグも対処されている。GitHub のリリースノートによると、一連の修正にはメモリ破損バグ／クラッシュ／プロトコル処理への対応が含まれている。これらの修正は、多くのセキュリティ報告を受けて実施されたものだが、すべての問題に対して個別の深刻度評価が行われたわけではない。

その他に解消された問題には、バイナリ・プロトコルにおける符号付き整数オーバーフロー／認証リロード時のデータ競合／不正入力や巨大トークンにより発生するクラッシュがある。さらに、プロキシ・サブシステムにおけるメモリ読み取り不足／バッファ解析エラーも修正されている。これらの問題により、不安定化やサービス拒否 (DoS) が生じる可能性がある。

外部公開された Memcached インスタンスは、攻撃経路が複雑であっても、妨害や偵察の標的として魅力的な存在である。組織に対して強く推奨されるのは、CVE-2026-47783 および関連脆弱性に対処するために、Memcached 1.6.42 以降へと直ちにアップグレードすることだ。

タイミング・サイドチャネルのような脆弱性が、他の弱点や実際の攻撃ツールと組み合わさることで深刻な影響を及ぼす可能性がある。そのため、パッチ適用と並行して、ネットワーク・セグメンテーションの適用／Memcached アクセスの信頼されたサービスのみへの制限／SASL の利用を含む強力な認証制御の実装により、将来的な問題の影響範囲を最小化する必要がある。

訳者後書：今回の Memcached の脆弱性 CVE-2026-47783 は、認証処理で生じる僅かな時間の差に起因します。システムが正しいユーザー名を受け取った時と、そうではない時で、内部の計算手順に微妙な違いが生じていたことが問題の核心です。この処理時間のバラつきを攻撃者が精密に測定することで、有効なアカウント名だけを効率よく特定できてしまう性質を持っています。パスワードが盗まれなくても、ログインの入り口が判明することは、その後の不正アクセスを助長する大きなリスクに繋がります。ご利用のチームは、ご注意ください。