もう少し詳しく
OSコマンドインジェクションとは、Webサイトやサーバー向けソフトが外部からの入力(メールの内容、入力フォームの値など)を受け取り、その内容を検証せずにOS(パソコンやサーバーを動かす基本ソフト)への命令の一部として実行してしまう欠陥、またそれを悪用する攻撃手法のことです。本来はデータとして扱われるはずの文字列に、OSへの命令として解釈される特殊な記号や文字を混ぜ込むことで、攻撃者が意図したコマンドをサーバー側で実行させてしまいます。
どこで使われるか
メールの通知処理、ファイル名の変換、外部ツールの呼び出しなど、プログラムの内部でOSのコマンドを組み立てて実行する処理がある場所で、入力内容の検証(バリデーション)が不十分だと発生しやすくなります。Webサーバー、メールサーバー、ネットワーク機器の管理機能など、サーバー向けソフトウェアの広い範囲が対象になり得ます。
身近な例
2026年には、メールサーバー製品「Zimbra」のSNMP通知機能に、認証なしで悪用できるOSコマンドインジェクションの欠陥が見つかり、実際に悪用されてWebシェル(遠隔操作用の不正プログラム)の設置や認証情報の窃取につながった事例が報告されています。このように、一見地味な通知・監視機能が侵入の入り口になることがあります。
注意点
OSコマンドインジェクションは、企業・団体がサーバーを運用する側の対策が中心となる欠陥で、一般の利用者がサービスを使う際に直接できる対策はほとんどありません。利用している製品の提供元から修正(セキュリティパッチ)の案内が出た場合は、できるだけ早く適用することが基本的な対策になります。
