ASUS Control Center の脆弱性 CVE-2026-75754：root アクセスの恐れとパッチ適用までの対応

Critical ASUS Control Center CVE-2026-75754 Flaw Allows Unauthenticated Root Access

2026/09/07 gbhackers — ASUS が公表したのは、ASUS Control Center Enterprise (ACC) の重大な脆弱性 CVE-2026-75754 の情報である。同社によると、この脆弱性は ACC 4.0.0.2 以下のバージョンに影響し、未認証の攻撃者による root レベルのアクセスを可能にするものである。このセキュリティ・アドバイザリは 2026年9月4日に公開され、同日に最新版へ更新されており、ASUS は影響を受ける製品／バージョン範囲を特定しているが、脆弱なコンポーネント／攻撃経路／悪用の前提条件／ネットワーク公開の有無／PoC に関する具体的な情報は開示していない。今後、同社から追加の技術情報が公開される可能性がある。

ASUS Control Center の重大な脆弱性

ASUS Control Center Enterprise は、集中管理／監視を目的として設計されているため、この脆弱性を悪用する攻撃者は、未認証で root レベルのアクセスを達成し、標的のホスト／アプライアンスを完全に掌握する可能性がある。想定される影響には、設定の変更／機密性の高い運用データへのアクセス／永続化メカニズムの導入／侵害した環境を足掛かりとした隣接インフラへの横展開などがある。ただし、実際の影響は、ACC の導入形態／接続構成／アカウント分離や、関連するサービス・コンポーネントの権限に応じて異なるものとなる。

管理者にとって必要なのは、すべての ACC の導入環境を速やかに特定し、4.0.0.2 以下のリリースが稼働しているかどうかを確認することである。ベンダーのセキュリティ・アップデートが承認されたチャネルから提供され次第、速やかに取得して適用すべきである。

パッチ適用が完了するまでの過程では、セキュリティ・チームは管理インターフェースへのアクセスを認可された管理者に限定し、信頼できないネットワークからのアクセスを制限するとともに、ファイアウォール・ルール／リモート・アクセス経路／管理者アカウントの制御を確認する必要がある。

セキュリティ担当者は、ACC サーバー／管理対象エンドポイントに関連する異常な管理操作を特定するため、認証ログ／プロセス・ログ／ネットワーク・ログを分析する必要がある。特に注意が必要なのは、予期しない root レベルのセッション／新たに作成された特権アカウント／サービス設定の変更／不審なスケジュール・タスク／管理インフラストラクチャを起点とする横展開である。

また、公開されたセキュリティ情報では侵害指標 (IoC) が提供されていないため、異常検知／ベースライン比較を実施し、既知の侵害指標に依存しない形で異常を特定することが重要となる。

このアドバイザリが示すのは、エンタープライズ管理ソフトウェアにおけるセキュリティの重要性である。この種のプラットフォームは、多数のデバイスに対する広範な可視性／制御能力を持つことが多いため、侵害による影響が単一のサーバーに留まらない恐れがある。

ASUS は、協調的な脆弱性開示の取り組みに従い、CVE 番号付与機関 (CNA) プログラムに参加していると説明している。同社が顧客に推奨しているのは、製品を最新の状態に維持し、最新のパッチを適用することである。

組織に求められるのは、ASUS の製品セキュリティ・アドバイザリーページを継続的に確認し、更新された修正ガイダンス／修正版に関する情報／追加の技術情報を確認することである。セキュリティ・チームは、影響を受ける資産の記録／メンテナンス後に適用済みアップデートを検証することに加え、今後の報告で悪用活動が確認された場合に備えて関連ログの保存も実施すべきだ。

ASUS Control Center Enterprise における重大な欠陥を取り上げる記事です。集中管理ソフトウェアは強力な権限を持つため、認証回避による未認証での root 権限奪取という問題が潜んでいます。攻撃者によるシステムの完全掌握／設定変更／機密データの不正取得／隣接インフラへの横展開といった多大な影響が生じる恐れがあり、稼働バージョンの確認と速やかなパッチ適用／アクセス制限／ログ監視の徹底が不可欠な対応策となります。対象となる脆弱性の識別番号は CVE-2026-75754 であり、該当環境の特定と防御措置の実施が求められます。