企業向け機器「F5 BIG-IP」の脆弱性はなぜ悪用されたのか。JPCERTが緊急に注意を呼びかけた理由を確かめる

まず初めに

鍵を作る会社が、自分の作った鍵が壊れていることに気づかないまま、泥棒に先回りされていた——今回の話はそれに近い。しかも壊れていたのは「この人は本当に入っていい人か」を確認する、鍵の一番肝心な部分だ。企業の玄関を守るはずの装置が、気づかぬうちに玄関そのものになっていたのだから、笑えない冗談にもほどがある。攻撃者が先に穴を見つけ、修正プログラムが後から追いかける——「ゼロデイ」という言葉の恐ろしさを、これほど分かりやすく体現した話も少ない。※個人の感想です

何が起きているのか

米F5は2026年9月22日、ネットワーク機器「BIG-IP」のうち、利用者のアクセス権限やシングルサインオンを管理する「Access Policy Manager(APM)」に、ヒープベースのバッファオーバーフローと呼ばれる種類の脆弱性CVE-2026-94127が存在すると公表しました。対象となるのは、BIG-IP APMをOAuth(あるサービスのIDやパスワードを直接教えることなく、限定的な利用権限だけを渡すための仕組み)の認可サーバーとして構成し、仮想サーバーにAPMのアクセスポリシーとOAuthプロファイルの両方を設定している場合です。この条件が揃うと、認証を経ていない遠隔の攻撃者が、細工した通信を送りつけるだけで任意のプログラムを実行できる可能性があるとされています。

とりわけ注目されているのは、この脆弱性がF5による修正プログラムの公開よりも前から、実際の攻撃で悪用されていたと確認された点です。いわゆる「ゼロデイ」(修正方法が用意される前に悪用される脆弱性)にあたり、対象組織が対策を講じる猶予がないまま攻撃にさらされていたことになります。CVSS(脆弱性の深刻さを共通の基準で点数化する仕組み)のスコアは、バージョン3.1で10点満点中9.8と、ほぼ最高水準の深刻度です。

F5は対象となるBIG-IP 17.1.0系・17.5.0系・21.1.0系のそれぞれについて、緊急のホットフィックスを公開しました。米CISA(サイバーセキュリティ・インフラストラクチャセキュリティ庁)は、この脆弱性を実際に悪用が確認された脆弱性をまとめる「KEV(既知の悪用された脆弱性)」カタログに追加し、米連邦機関に対して9月25日までの対応を指示しています。JPCERT/CCも9月24日付で注意喚起を発行し、対象製品が国内でも広く利用されていることを踏まえ、該当する設定で運用している組織に対し、速やかな状況確認とアップデートの適用を呼びかけています。

なぜ重要なのか

BIG-IPは、大量のアクセスを複数のサーバーに振り分ける「ロードバランサー」としての機能に加え、社員や取引先が社内システムへ安全にアクセスするための入り口(リモートアクセス・シングルサインオンの管理)としても、多くの企業・官公庁・通信事業者に導入されている基盤機器です。いわば、組織のネットワークの「玄関」にあたる部分を担っていることが少なくありません。この玄関部分に、認証なしで遠隔から侵入できる脆弱性が見つかったこと自体が重大ですが、輪をかけて深刻なのは、修正プログラムが用意される前から実際に攻撃が行われていた「ゼロデイ」だった点です。対策済みの組織であっても、公表前の期間は無防備な状態に置かれていたことになります。

なお、F5については2025年10月にも、同社が「高度な国家支援型」と説明する攻撃者からBIG-IPのソースコードや、当時未公表だった脆弱性に関する情報が盗み出されたと公表した経緯があります。今回の脆弱性が、その際に流出した情報と直接関係しているかどうかは、今回確認した出典の範囲では明らかにされていませんが、BIG-IPという製品を巡るセキュリティ上の懸念が、繰り返し表面化している点は押さえておく必要があります。

私たちへの影響

BIG-IP APMは、個人が自宅のパソコンやスマートフォンに直接インストールして使う製品ではなく、企業や通信事業者がネットワークの管理に導入する専門機器です。そのため、一般利用者が今回の脆弱性そのものを直接操作したり、設定を変更したりする必要はありません。

一方で、普段利用しているネットショップや会員制サービス、勤務先のシステムの裏側で、この種の機器が使われている可能性はあります。仮に自分が利用している事業者のシステムがこの脆弱性を放置したまま攻撃を受ければ、サービス停止や、その先に保管されている個人情報への不正アクセスにつながる可能性は否定できません。今回の出典の範囲では、具体的にどの企業・組織が影響を受けたかは公表されていませんが、勤務先の情報システム部門やIT担当者にとっては、対象設定に該当していないかを確認すべき差し迫った話題です。

初心者が知っておくべきこと

「ゼロデイ脆弱性」とは、修正プログラムが用意される前の段階で、実際の攻撃に悪用されてしまう脆弱性のことです。通常であれば、脆弱性が発見されてから修正プログラムが公開されるまでの間に対策の猶予がありますが、ゼロデイの場合はその猶予がないまま被害が発生している可能性があります。

また、CVSS(共通脆弱性評価システム)は、脆弱性の深刻さを0から10の点数で表す共通の物差しです。今回のスコアである9.8点は、攻撃の実行しやすさと影響の大きさの両方が高く評価された、極めて深刻な部類に入ります。

「RCE(リモートコード実行)」は、攻撃者が対象のコンピューターに対して、遠隔から任意のプログラムを実行できてしまう状態を指す言葉です。今回のようにRCEが認証なしで成立してしまう場合、攻撃者は正規の利用者になりすます手間すらかけずに、機器を乗っ取ることができてしまいます。

よくある質問

Q. 自分の会社がBIG-IPを使っているかどうか、利用者側から確認する方法はありますか。

今回確認した出典の範囲では、外部の利用者が特定の企業のネットワーク機器の種類を確認する一般的な方法は示されていません。心当たりがある場合は、自社・取引先の情報システム部門に確認するのが確実です。

Q. 個人でできる対策はありますか。

BIG-IP APM自体は企業向け機器のため、個人が直接対策する項目はありません。ただし、日頃から利用しているサービスで見慣れない挙動(ログインを求められる頻度の変化など)に気づいた場合は、パスワードの変更や、サービス提供者への問い合わせを検討してください。

IT Postの見方

IT Postでは、今回ばかりはF5やJPCERT/CCを責める話ではないと考える。むしろ迅速に動いた側だ。腹が立つのは、直したそばから攻撃側が次の穴を探し続けている構図そのもの。ゼロデイという言葉は聞こえこそ地味だが、実態は「気づいた時にはもう手遅れ」という、防御側にとって一番タチの悪いパターンだ。企業のセキュリティ担当者が休日返上でホットフィックスを当てている裏で、攻撃者は悠々と次の標的を探している——この非対称さが変わらない限り、似たようなニュースを何度も書くことになるだろう。※個人の感想です

今後どうなりそうか

JPCERT/CCは、今回の脆弱性について、攻撃に使われるコード(エクスプロイトコード)が公開され、悪用がさらに広がるおそれがあるとして注意を呼びかけています。すでにセキュリティ企業のwatchTowr Labsが、脆弱性の技術的な仕組みを解説する分析を公開しており、今後も同様の技術情報の公開が続く可能性があります。BIG-IP APMを対象の設定で運用している組織は、F5が公開したホットフィックスの適用状況を早急に確認することが求められます。IT Postでは、ネットワーク機器を狙ったゼロデイ攻撃の動きを、企業名インシデントの続報とあわせて引き続き確認していきます。