WatchGuard Agent のCVE-2026-57910／57909 が FIX：RCE による root／SYSTEM 権限取得の恐れ

Critical WatchGuard Agent Flaws Let Unauthenticated Attackers Execute Remote Code

2026/08/26 gbhackers — WatchGuard は、Windows 向けの WatchGuard Agent に存在する 2 件の重大な脆弱性、CVE-2026-57910 (CVSS 9.3)／CVE-2026-57909 (CVSS 9.4) に関する情報を公表した。これらを悪用する認証されていない攻撃者は、影響を受けるエンドポイント上で任意のコードを実行できる可能性があり、WatchGuard Agent のバージョン 1.25.13.0000 未満が影響を受けることから、悪用に成功した場合は侵害したホストを完全に制御し、Windows システム上で SYSTEM レベルの権限を取得する可能性がある。

認証の欠如によるコード実行が可能に

1 つ目の脆弱性 CVE-2026-57910 は、WatchGuard Agent の UDP 検出／コマンドサービスに影響を及ぼす不適切な認証の欠陥である。ネットワーク経由でアクセス可能な未認証の攻撃者は、この脆弱性を悪用して Agent の TaskExecute イベント・ハンドラを起動し、攻撃者が制御するプログラムをサービスにダウンロードして実行させることが可能となる。通常の WatchGuard Agent は高権限で動作するため、プラットフォームや導入環境に応じて、悪用に成功した攻撃者が root または SYSTEM として任意のコードを実行する可能性がある。

その結果、マルウェアのインストール／永続性の確保／機密ファイルへのアクセス／セキュリティ設定の変更／侵害したエンドポイントを足掛かりとした横展開などが可能になる。WatchGuard は、この脆弱性を複数の CWE に分類している。

  • CWE-306：認証機能の欠落
  • CWE-347：暗号化された署名に対する不適切な認証
  • CWE-494：適切な確認を伴わないコードのダウンロード

この脆弱性が引き起こすのは、リモートからアクセス可能なサービスが十分な認証なしでコマンドを受け入れ、その完全性や取得元を適切に検証することなくコードを取得／実行する高リスクな状態である。

2 件目の脆弱性 CVE-2026-57909 は、認証されていない攻撃者によるリモートコード実行を可能にするパストラバーサルの欠陥であり、悪用の前提として隣接ネットワークからのアクセスが必要になる。攻撃者により、影響を受けるエンドポイント保護コンポーネントの機密性／完全性／可用性が完全に失われる可能性があると、WatchGuard は指摘している。

この問題は、コード生成の不適切な制御に関する CWE-94 と、重要機能に対する認証の欠如に関する CWE-306 に分類されている。

隣接ネットワークへのアクセスが必要となるため、インターネットに公開された脆弱性と比較すると露出範囲は限定されるが、企業環境では依然として重大なリスクがある。Wi-Fi ネットワーク／VPN セグメント／侵害済みの内部システム／分離が不十分なサブネットなどからアクセス可能となった攻撃者が、パッチが未適用の WatchGuard Agent を標的にする可能性がある。

2026年8月25日時点で WatchGuard は、2 つの脆弱性に関する実環境での悪用を確認していないとしているが、公開された悪用事例が存在しないことを修正を遅らせる理由とすべきではない。いずれの脆弱性も認証を必要としないコード実行を可能にするため、悪用が確認されていない段階でも早急な対応が求められる。

ユーザー組織にとって必要なことは、両方の脆弱性に対処するため WatchGuard Agent をバージョン 1.25.13.0000 以降へアップグレードすることである。CVE-2026-57910 については個別の修正版として 1.17.02.0000 および 1.17.21.0000 が提供されているが、CVE-2026-57909 についてはバージョン 1.25.13.0000 が必要となるため、両方の脆弱性に対応するには 1.25.13.0000 以降へのアップグレードが必要となる。

セキュリティチームは、導入済み WatchGuard Agent のバージョンを確認するとともに、外部または内部からアクセス可能なシステムを優先して対応する必要がある。さらに、異常な UDP 検出トラフィック／予期しない TaskExecute の活動／WatchGuard Agent サービスによる不審なバイナリのダウンロードやプロセス起動を監視することも重要である。

WatchGuard Agent に脆弱性 CVE-2026-57910／CVE-2026-57909 が発見されました。その背景にあるのは、認証処理の不足やパス階層の検証不備です。その結果、未認証の第三者による遠隔からの任意コード実行／最上位権限でのホスト全域に対する完全な操作／機密情報の流出／マルウェアの常駐／内部ネットワークへの侵入拡大などの深刻な影響が生じます。最新版への迅速な更新／稼働端末におけるバージョン情報の確認／検出サービスの不審な UDP 通信監視／異常プロセス起動の追跡といった多角的な安全確保処置が求められます。