ASUS Control Center Critical の脆弱性 CVE-2026-19397：認証の欠如と root アクセス

ASUS Control Center Critical Flaw Allows Unauthenticated Attackers to Gain Root Access

2026/09/08 gbhackers — ASUS は、Control Center Express Agent の認証欠如の脆弱性 CVE-2026-19397 (High) に関する情報を公表し、修正のためのセキュリティ・アップデートをリリースした。この脆弱性を悪用する近距離にいる未認証の攻撃者は、Agent に直接接続し、影響を受けるホストを制御する可能性がある。この脆弱性に関する情報は 2026年9月8日に公開／更新され、影響を受けるバージョンとして 1.7.24 未満を指定している。

ベンダーが公開した CVE レコードでは、root レベルでのコード実行が明示されており、ホストの不正制御が懸念される。特に Agent が OS の昇格された権限で動作する環境では、攻撃による影響が大きくなるため、管理者は Agent の侵害がデバイスの完全な乗っ取りにつながる可能性を考慮する必要がある。

ASUS Control Center の重大な脆弱性

脆弱性 CVE-2026-19397 は、重要な機能に対する認証の欠如 (CWE-306) に分類されており、ASUS Control Center Express Agent のセキュリティ上重要な機能に対して、呼び出し元の ID を確認せずにアクセスを許すものである。

公開された説明によると、この脆弱性の悪用の前提として、対象システム上での有効なログイン・セッションの存在と、近距離からの攻撃が条件となる。ここでいう近距離とは、同じローカル・ネットワークや、直接到達できる他のネットワークを意味する。

公開された CVSS v4 の Base Score は 7.7 であり、High と評価されている。公開情報では、Exploit／ネットワーク・ポート／リクエストの順序／実環境での悪用について詳細は示されていないものの、Proof-of-Concept (PoC) が存在しないことを低リスクと捉えるべきではない。

管理プレーンへ未認証のアクセスが可能な場合には、企業 LAN／ゲスト・セグメントに加えて、適切にセグメント化されていない管理ネットワークへの足掛かりを確保した攻撃者が、その後の攻撃を実行しやすくなる可能性がある。影響を受ける組織に推奨されるのは、ASUS Control Center Express Agent がインストールされたエンドポイントを直ちに特定し、Version 1.7.24 以降にアップグレードすることである。

セキュリティ・チームに求められるのは、アクセス可能なインターフェイスで Agent が待ち受けていないことの確認／ホスト・ファイアウォールとネットワーク・セグメンテーションによるアクセス制限／管理機能が不要な場合のコンポーネントの無効化または削除である。また、直ちに実施すべき対応としては、Control Center Express Agent へのパッチ適用とネットワークからの到達範囲の制限がある。有効なユーザー・セッションが脆弱性の悪用条件に含まれていることから、該当するシステムを優先する必要がある。

防御担当者にとって必要となるのは、エンドポイントとネットワークのテレメトリ監視である。それに加えて、Agent を実行しているシステムへの予期しない直接接続／Agent のサービス・コンテキストから生成された異常な子プロセス／新たに作成された特権アカウント／変更されたリモート・アクセス設定やセキュリティ設定などの不審な変更を調査すべきである。

インシデント対応担当者に求められるのは、侵害が疑われるホストを再構築または修復する前に、サービス設定／有効な接続／プロセス・ツリー／Windows Event Log を保存することである。

ASUS は上記の脆弱性に加えて、Armory Crate App のバージョン 6.5.7.0 以下に対するアドバイザリも公開しており、脆弱性 CVE-2026-12962／CVE-2026-18023／CVE-2026-16003～CVE-2026-16006／CVE-2026-75808～CVE-2026-75811 など、計 10 件の CVE を対象としている。これは別製品に関する通知だが、企業に求められるのは、ASUS 製ソフトウェアのインベントリ管理／パッチ検証サイクルに Armory Crate App も含めることである。

直ちに実施すべき対応は、Control Center Express Agent へのパッチ適用／ネットワークからの到達範囲の制限／ユーザーがログインしている状態で、未認証の第三者が影響を受けるホストと通信した兆候の調査である。

ASUS Control Center Express Agent において認証処理の欠如が存在します。近隣のネットワークから未認証のまま接続されることで root 権限によるコード実行を許し、ホスト全体が制御される恐れがあります。 CVE-2026-19397 が割り当てられたこの問題への対処として、バージョン 1.7.24 以降への更新 ／アクセス可能なインターフェイスの確認／ネットワーク分離や壁による制限／不審な接続やプロセスの監視が求められます。また Armory Crate App にも CVE-2026-12962／CVE-2026-18023／CVE-2026-16003～CVE-2026-16006／CVE-2026-75808～CVE-2026-75811 が影響するため、併せて確認が必要です。