Progress MOVEit Transfer の 12 件の脆弱性が FIX：認証バイパスや権限昇格などの恐れ

Progress Warns of MOVEit Transfer Vulnerabilities Allowing Authentication Bypass and Privilege Escalation

2026/10/16 gbhackers — Progress Software が公表したのは、マネージド・ファイル転送 (MFT) プラットフォーム MOVEit Transfer に存在する、12 件のセキュリティ脆弱性に関する情報と修正版のリリースである。これらの脆弱性には、認証回避／セッション乗っ取り／管理者権限の取得につながる問題が含まれる。同社は 2026年10月15日に公開した「2026年9月の重大なセキュリティ情報」で、顧客に速やかなアップグレードを求めている。

MOVEit Transfer に 12件の脆弱性

Progress Software が公開したセキュリティ情報によると、今回の脆弱性の影響を受けるバージョンは以下のとおりである。

MOVEit Transfer 2025.0.8 以下
MOVEit Transfer 2025.1.0～2025.1.5
MOVEit Transfer 2026.0.0～2026.0.3

これらの脆弱性が悪用された場合、不正アクセス／管理者権限の取得／データ漏えい／サービスの不安定化／リソースの枯渇などが生じる恐れがある。また、想定される影響にはセッション・ハイジャック／データ損失／サービスの中断も含まれると、Progress は警告している。

すでに Progress は、MOVEit Transfer 2025.1.6／2026.0.4 をリリースし、すべての脆弱性を修正した。ただし、提供されたセキュリティ情報には、これらの脆弱性が実際の攻撃で悪用されたという報告はない。

修正された 12件の CVE 一覧

CVE ID	脆弱性の種類	CVSS
CVE-2026-89067	CWE-288：代替パスまたはチャネルを利用した認証回避	8.8
CVE-2026-87093	CWE-732：重要なリソースに対する不適切な権限の割り当て	8.8
CVE-2026-89068	CWE-304：認証処理における重要なステップの欠落	8.1
CVE-2026-89069	CWE-79：クロスサイトスクリプティング（XSS）	8.0
CVE-2026-89074	CWE-176：Unicode エンコーディングの不適切な処理	7.5
CVE-2026-89070	CWE-294：キャプチャ・リプレイによる認証回避	7.5
CVE-2026-89077	CWE-303：認証アルゴリズムの不適切な実装	7.5
CVE-2026-89073	CWE-613：セッションの有効期限管理の不備	7.5
CVE-2026-89072	CWE-863：不適切な認可	7.5
CVE-2026-89071	CWE-90：LDAPインジェクション	7.5
CVE-2026-89075	CWE-922：機密情報の安全でない保存	7.3
CVE-2026-89076	CWE-89：SQLインジェクション	7.2

CVE-2026-89067／CVE-2026-87093

今回修正された脆弱性のうち、最も高い CVSS スコアが付けられたのは CVE-2026-89067／CVE-2026-87093 であり、いずれも 8.8 と評価されている。CVE-2026-89067 を悪用する攻撃者は、通常の認証経路とは異なるパスやチャネルを通じて保護された機能へアクセスする可能性がある。一方、CVE-2026-87093 は重要なリソースに対するアクセス権限の不適切な設定に起因し、権限昇格につながる恐れがある。

認証処理やセッション管理にも複数の問題

今回のアップデートでは、認証やセッション管理に関連する以下の脆弱性も複数修正された。

認証に必要な処理手順の欠落。
通信内容を取得して再利用するキャプチャ・リプレイ攻撃への耐性不足。
認証アルゴリズムの不適切な実装。
セッションの有効期限管理の不備。
不適切な認可。

これらの脆弱性を組み合わせて悪用すると、セッションの乗っ取りや管理者権限の不正取得につながる可能性がある。また、LDAP インジェクションと SQL インジェクションの脆弱性もあり、悪用された場合は、ディレクトリ情報の不正操作やデータベース内の情報漏えいにつながる恐れがある。

MOVEit Transfer は過去にも大規模攻撃の標的に

過去においても、MOVEit Transfer の重大な脆弱性は、大規模なサイバー攻撃に悪用されている。2023年には、ランサムウェア・グループの Cl0p が大規模な攻撃キャンペーンを展開した。この攻撃では、MOVEit Transfer に存在していた SQL インジェクションのゼロデイ脆弱性が悪用され、数千もの組織が影響を受けた。

こうした経緯から、今回のような認証関連の脆弱性についても、実際の悪用が確認されていない段階から優先的に対処することが重要である。

複数の研究者と AI プラットフォームが脆弱性を報告

今回修正された脆弱性の発見には、複数のセキュリティ研究者と AI プラットフォームが貢献している。Progress が謝辞を示した研究者と報告件数は、以下のとおりである。

研究者・組織	報告件数
Leo Oliver（ssrfer）	3件
Maciej “mace” Nowak（Robert Bosch、ポーランド）	2件
Matt Grover	1件
Mateusz Mieczkowski	1件
Ryan Vinton	1件
bugbunny.ai	3件

AI を活用するプラットフォームの bugbunny.ai は、認証アルゴリズムの不適切な実装／LDAP インジェクション／機密情報の安全でない保存といった、3 件の問題を報告している。それぞれの脆弱性には、CVE-2026-89077／CVE-2026-89071／CVE-2026-89075 が採番されている。

今回の 12 件の脆弱性を修正するには、フルインストーラーを使用したアップグレードが唯一の方法であると Progress は説明している。また、アップグレード作業中にはシステムの停止が発生するため、管理者は業務への影響を考慮し、適切なメンテナンス時間を確保した上で更新作業を実施する必要がある。

MOVEit Transfer の修正済みバージョン

現在のバージョン	対応方法
2026.0.0～2026.0.3 (18.0.0～18.0.3)	2026.0.4 へアップグレード
2025.1.0～2025.1.5 (17.1.0～17.1.5)	2025.1.6 へアップグレード
2025.0.8 (17.0.8) 以下	現在サポートされているバージョンへ移行

管理者は、MOVEit Transfer Config ユーティリティの [License] タブで現在のバージョンを確認し、利用中のバージョンに応じた修正済みリリースへアップグレードする必要がある。特に、2025.0.8 以下のバージョンは、現時点でサポート対象となるバージョンへの移行が求められる。

パッチ適用までログの監視を継続

セキュリティチームは、アップグレードが完了するまで MOVEit Transfer のログを継続的に監視する必要がある。特に、以下のような不審な活動に注意することが推奨される。

通常とは異なるセッション：不審なセッションの確立や、想定外のセッション利用が発生していないか確認する。
管理者権限による変更：管理設定や権限に対して、予期しない変更が行われていないか調査する。
ログイン失敗の記録：認証失敗が記録されていないか確認する。

今回の脆弱性には認証回避やセッション管理の不備が含まれるため、アップグレードが完了するまでは、こうした不審な活動を通じて不正アクセスの兆候を監視することが重要である。

修正プログラムの入手方法

有効な保守契約を結んでいる顧客は、Progress Community からアップグレード用のファイルをダウンロードできる。その一方で、保守契約が有効でない顧客は、Progress の営業担当者または販売パートナーへ問い合わせる必要がある。アップグレードの詳細な手順は、Progress の公式ドキュメントサイトで確認できる。

今回の 12 件の脆弱性について、提供されたセキュリティ情報では実際の悪用は報告されていない。ただし、MOVEit Transfer は機密性の高いファイルの転送に利用される製品であり、認証回避や管理者権限の取得につながる脆弱性が悪用された場合、組織に大きな影響が及ぶ可能性がある。

管理者は、修正済みバージョンへのアップグレードを速やかに計画し、完了するまで不審なセッションや管理者操作を監視する必要がある。

この記事は、マネージド・ファイル転送プラットフォームである MOVEit Transfer における複数のセキュリティ不具合について解説するものです。ファイル転送システムにおける認証経路の不備や権限設定の不適切さが背景に存在します。影響として、不正アクセス／管理者権限の取得／データ漏えい／サービスの不全が生じる恐れがあります。対応策として、フルインストーラーを利用した修正済みバージョンへの早期アップグレード／適用完了までのログ監視による不正兆候の確認が求められます。