【CVE-2025-26465】は、OpenSSHクライアントにおいて、VerifyHostKeyDNSオプションが有効になっている場合に発生する脆弱性です。この設定下では、攻撃者がDNS応答を偽装し、正当なサーバーに見せかけることで中間者攻撃（MITM）を成立させる可能性があります。
攻撃の成功にはクライアントのメモリリソースを枯渇させるなど高い条件が必要ですが、環境によっては重大リスクとなり得ます。
本記事では、CVE‑2025‑26465の概要、深刻度、影響範囲、技術的なメカニズム、被害想定、ベンダー対応、そして推奨される対策について解説します。
| 本ページには広告が含まれています。本コンテンツ経由で商品・サービスの申込みがあった場合、企業から送客手数料を受け取ることがあります。 |
【CVE-2025-26465】概要
OpenSSHにて、VerifyHostKeyDNSオプションが設定されていると、ホスト鍵の検証中にエラーコードを誤処理し、不正な認証に成功してしまうケースがあります。
これを利用した攻撃者がDNSを改ざんすることで、クライアントに偽のサーバーを正当と認識させ、通信内容を傍受または改ざんすることが可能になります。
出典：NVD
【CVE-2025-26465】CVSSによる深刻度
- CVSS v3.1 基本スコア：6.8（Medium）
- ベクトル：AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
中間者攻撃で機密情報が漏洩または改ざんされるリスクを示しています。ただし、攻撃には高い複雑性が伴い、利用者操作も必要です。
出典：NVD
【CVE-2025-26465】影響を受けるバージョン・環境
影響対象：OpenSSH 6.8p1 〜 9.9p1（すべてのクライアント）
VerifyHostKeyDNSが設定されており、デフォルトではオフですが、FreeBSDでは2013年9月から2023年3月までデフォルトオンだったことが知られており、該当環境では特に注意が必要です。
出典：Wiz
【CVE-2025-26465】技術的な詳細
この脆弱性は、ホスト鍵検証の際にエラーコードの取り扱いを誤ることに起因します。具体的には、sshkey_verify_host_key() が -1 (SSH_ERR_INTERNAL_ERROR) 以外のエラーコードを誤って成功扱いしてしまうロジック不備です。
結果として、攻撃者により偽のサーバー鍵を正しく認識してしまうケースが発生します。
出典：Wiz
【CVE-2025-26465】脆弱性がもたらすリスク
- MITM攻撃による通信内容の漏洩・改ざん
特にSSHトンネリング経由の機密データに影響する可能性があります。 - VPNやリモート接続のセキュリティ破壊
SSH経由の通信に信頼性を損なう可能性があるため、運用リスクが高まります。
出典：SOC Prime
【CVE-2025-26465】ベンダーおよびアドバイザリ情報
複数のベンダーから対応情報が公開されています。
- OpenSSH：バージョン 9.9p2 にて修正されました。
出典：Wiz
- Ubuntu、Red Hat、Debian、NetAppなど各OS/製品のセキュリティアップデートが提供されています。
出典：NVD
【CVE-2025-26465】対策と緩和策
推奨される対応
OpenSSHを9.9p2以降にアップデートしてください。このバージョンで脆弱性は修正されています。
出典：Wiz
一時的な緩和策
- VerifyHostKeyDNS を “no”（デフォルト）に設定しておくことで、脆弱性を回避できます。
- 対象クライアントが操作可能な環境では、すぐに設定変更を推奨されます。
出典：Wiz
もし既に通信の傍受や改ざんの疑いがある場合は、フォレンジック調査を実施することをおすすめします。調査により「攻撃が発生していないか」「どの通信が影響したか」を突き止めることができ、さらなる侵害を防ぐ礎を築けます。
編集部おすすめ調査会社：デジタルデータフォレンジック(おすすめ度)
情報漏洩やサイバー攻撃といった、幅広いインシデントに対してフォレンジック調査を行っている専門会社をご紹介します。
こちらの業者は、相談件数が39,000件を超え、民間の調査会社でありながら官公庁や大手企業との取引実績も多く信頼できるため、幅広い調査に対応していておすすめです。もちろん法人だけでなく、個人のハッキングやサポート詐欺調査などの相談も受け付けています。
まずは無料で相談・見積りまで行ってくれるようなので、不安な方は一度相談してみるとよいでしょう。
| 費用 | ★見積り無料 まずはご相談ください |
|---|---|
| 調査対象 | PC、スマートフォン、サーバ、外付けHDD、USBメモリ、SDカード、タブレット など |
| サービス | 情報漏洩調査、ハッキング・不正アクセス調査、マルウェア・ランサムウェア感染調査、サイバー攻撃被害調査、退職者調査、労働問題調査、社内不正調査、情報持出し調査、横領着服調査、パスワード解除、データ改ざん調査、データ復元、デジタル遺品、離婚問題・浮気調査 など |
| 特長 | ✓累積ご相談件数39,451件以上 ✓国際基準をクリアした厳重なセキュリティ体制（ISO認証、プライバシーマーク取得済） ✓警視庁からの捜査協力依頼・感謝状受領の実績多数 |
デジタルデータフォレンジックは、国内トップクラスの調査力を有しており、累計3万9千件以上の豊富な実績があります。
規模が大きな調査会社でありながら、個人端末のハッキング調査、不正アクセス調査などの実績もあるようですし、24時間365日の相談体制、ニーズに合わせたプランのカスタマイズなど、サービスの利用しやすさも嬉しいポイントです。
ハッキング調査以外にも幅広い調査に対応しているだけでなく、ケースごとに専門チームが調査対応を行っているとのことで、高品質な調査が期待できます。さらに、警察への捜査協力も行っているなど、信頼がおける専門業者です
相談・見積りを“無料“で行っているので、まずは電話かメールで問合せをしてみることをおすすめします。