WatchGuard「AuthPoint Authentication Gateway」で4件の脆弱性、3件を「Critical」と評価

WatchGuardの多要素認証ソリューション「WatchGuard AuthPoint」で利用する認証ゲートウェイ「AuthPoint Authentication Gateway」に複数の脆弱性が明らかとなった。同社は2026年10月29日にリリースしたバージョン7.6.0で問題を修正しており、認証ゲートウェイは自動更新されないため、利用者によるアップデートが必要としている。

事案の詳細

WatchGuardは、「WatchGuard AuthPoint」で利用する認証ゲートウェイ「AuthPoint Authentication Gateway」に関する4件の脆弱性を公表した。これにあわせて、同社はバージョン7.6.0を提供している。

公開された4件のうち、3件は重要度を4段階中もっとも高い「クリティカル（Critical）」、のこる1件は「高（High）」とレーティングされている。

脆弱性のひとつ「CVE-2026-121639」は、重要な機能に対する認証処理が欠落している脆弱性とされ、ネットワーク経由で認証を必要とせず、認証サービスの妨害やディレクトリ同期に関する設定の削除を行える可能性がある。

「CVE-2026-121638」は、通信先の証明書を適切に検証しない脆弱性。「RADIUS」「LDAP」「ADFS」と連携している環境で通信経路に介入できる場合、認証ゲートウェイと認証サービス間の通信を傍受、改ざんできる可能性がある。CVSS基本値は9.1で、重要度は「クリティカル（Critical）」とされている。

「CVE-2026-121640」のCVSS基本値も9.1で、重要度は「クリティカル（Critical）」とされている。重要度が「高（High）」の「CVE-2026-121637」は、「LDAP認証」の結果処理における検証不備の脆弱性で、有効なヘッダ署名を入手した場合、認証結果やトランザクション識別子を偽装できる可能性がある。CVSS基本値は8.9。

影響と背景

今回の対象は、WatchGuardの多要素認証ソリューション「WatchGuard AuthPoint」で利用する認証ゲートウェイ「AuthPoint Authentication Gateway」である。4件のうち3件が「クリティカル（Critical）」、1件が「高（High）」と評価されている。

「CVE-2026-121639」では、ネットワーク経由で認証を必要とせず、認証サービスの妨害やディレクトリ同期に関する設定の削除を行える可能性がある。また、「CVE-2026-121638」では、「RADIUS」「LDAP」「ADFS」と連携した環境で通信の傍受や改ざんにつながる可能性がある。

対策・今後の展望

• 修正版の適用：WatchGuardが2026年10月29日にリリースしたバージョン7.6.0を適用する。認証ゲートウェイは自動更新されないため、利用者によるアップデートが必要となる。
• 対象構成の確認：「AuthPoint Authentication Gateway」を利用しているか、また「RADIUS」「LDAP」「ADFS」と連携しているかなど、自社環境の構成を確認する。
• アドバイザリの確認：4件のセキュリティアドバイザリの内容を確認し、「Critical」「High」と評価された脆弱性への対応を進める。

CSRIからのアドバイス

同種の事案では、認証や証明書検証の不備が入り口になりやすく、ネットワーク越しに認証なしで操作できる状態や通信を傍受・改ざんできる状態が生じると、影響が広がるおそれがある。製品のアドバイザリ公開と修正版提供が行われた場合は、速やかな確認と適用が必要だ。

例えるなら、普段は鍵が必要な扉が、ある条件では鍵なしで開いてしまったり、扉の先との通信内容を第三者に見られたり書き換えられたりするようなものだ。本人確認や通信相手の確認が不十分なまま重要な操作が行われる可能性がある。

まず自社で「AuthPoint Authentication Gateway」を使っているかを確認し、次に「RADIUS」「LDAP」「ADFS」と連携している構成かを担当者に共有する。そのうえで、WatchGuardが示した4件のアドバイザリとバージョン7.6.0を確認し、アップデートを進めたい。

参照: WatchGuardの多要素認証製品に脆弱性 – 「クリティカル」も