英Sophosは現地時間2026年10月28日、セキュリティゲートウェイ製品「Sophos UTM」に深刻な脆弱性（CVE-2026-118633）があると公表した。メールプロキシを使い、スキャン機能を有効にしている場合に、認証を経ずにroot権限で任意のコマンドを実行されるおそれがある。同製品はすでにサポートを終了しているが、Sophosは修正パッチを用意し、早急な適用を求めている。
脆弱性の内容
Sophosのアドバイザリによると、脆弱性はパストラバーサル（ファイルの場所を指定する処理の不備）に分類される。攻撃者は数分間にわたって攻撃を繰り返し、処理の競合状態を引き起こすことで、認証なしに遠隔からコマンドを実行できる。影響を受けるのはSophos UTMの全バージョンで、回避策はない。
Sophosは深刻度を「クリティカル」としている。Security NEXTによると、CVSS v4.0のベーススコアは9.2。脆弱性は外部のセキュリティ研究者がSophosのバグ報奨金制度を通じて報告した。アドバイザリには、実際の悪用についての記載はない。
パッチは手動での適用が必要
Sophos UTMはサポートが終了しているため、修正パッチは自動更新では配信されない。利用者が同社のサポート記事（KBA-000049692）の手順に従い、手動で適用する必要がある。Sophosは、UTMでメール保護機能を使っている利用者に対し、できるだけ早くパッチを適用するよう求めた。あわせて、サポートが続いている「Sophos Firewall」への移行を勧めている。
影響と背景
UTMのようなゲートウェイ製品は社外との境界に置かれるため、乗っ取られると社内ネットワークへの入り口になりやすい。サポートが終了した製品は、今回のように例外的にパッチが出ても自動では届かず、利用者が気づかなければ放置される。小規模な事業所では、導入した業者に任せたまま設定や更新の状況を把握していない例もある。
対策
- 利用状況の確認：Sophos UTMを使っているか、メールプロキシとスキャン機能を有効にしているかを確認する。
- パッチの手動適用：該当する場合は、Sophosのサポート記事の手順に従って速やかにパッチを適用する。
- 後継製品への移行計画：サポート終了製品を使い続けることは避け、Sophos Firewallなどサポートのある製品への移行を進める。
CSRIからのアドバイス
【押さえるべきポイント】サポートが終わった機器は、新しい脆弱性が見つかっても修正が届かないか、今回のように手作業での対応が必要になる。境界に置く機器ほど攻撃の対象になりやすく、サポート期限の管理は機器の性能以上に重要になる。
【平易な解説】メーカーの点検サービスが終わった玄関の鍵に、こじ開ける方法が見つかったような状態だ。今回はメーカーが交換部品だけは用意してくれたが、取りに行って自分で付け替えなければ鍵は弱いままになる。
【今週中にできること】まず、社外との境界にある機器（UTM、ファイアウォール、VPN装置）の製品名とサポート期限を一覧にする。次に、管理を委託している業者に、パッチの適用状況と後継製品への移行予定を確認する。