TesujiSophosは2026年10月28日、Sophos UTMの脆弱性CVE-2026-118633への修正を公表しました。メールプロキシでスキャンを有効にしている構成では、条件がそろうと、認証前の遠隔攻撃からroot権限で任意のコマンドを実行され得る問題です。Sophos公式告知
同告知は、Sophos UTMがサポート終了済みで、修正を手動で適用する必要があると明記しています。自動更新に任せているつもりの機器も、実際の適用状況を確認する題材です。
全バージョンが対象、利用機能の条件も確認する
公式は対象をSophos UTMの全バージョンとしています。問題の成立条件には、メールプロキシでスキャンを有効にしていることと、攻撃者が競合状態を成立させることが含まれます。公開された情報から、すべての設置機器が既に侵害されたと結論づけることはできません。影響条件と修正の案内
最初に、設置機器がUTMか、メールの中継・検査に使っているか、誰が機器を管理しているかを確認します。ブランド名が同じ別製品まで、同じ欠陥の対象として扱わないことも確認点です。
手動修正は、公式の手順と適用確認まで
Sophosは、サポート対象のSophos Firewallへの移行と、個別の修正手順を案内しています。継続利用中の対象機器への作業は、公式の手動パッチ手順を参照してください。
手順ではUTMの版、配布パッケージのSHA256、修正後のコンポーネントのハッシュなどを確認します。機器への権限が必要な作業なので、適用を担当する管理者・保守会社が、対象と作業結果を確認できる状態で進めます。
以下はTesuji編集上の運用提案です。
| 確認の段階 | 残しておきたいもの |
|---|---|
| 対象の特定 | 機器、稼働版、メール経路、利用機能、保守担当 |
| 作業の準備 | 設定のバックアップ、作業時間、障害時の連絡先 |
| 適用 | 公式手順の確認日、実施担当、検証結果 |
| 動作確認 | メール送受信・検査の結果、異常ログの有無 |
| 継続対応 | サポート対象製品への移行計画と担当 |
メールが届くことと、検査機能が意図どおり働くことは、それぞれ確認します。作業後に問題があれば、時刻や対象メールの扱いなど、調査に必要な記録を管理者間で共有します。
緊急修正と、サポート終了機器の移行を両方追う
今回の修正を適用したことは、製品の通常サポートが再開したことを意味しません。機器を使い続ける期間と、移行先・移行日程を別の項目として管理することを提案します。
また、公式告知には実際の悪用を確認したとの記載は見当たりません。Cisco ASA／FTDの悪用確認の告知とは状況を分けて扱います。製品ごとの公式アドバイザリを継続して確認するため、TesujiではSophos Security Advisoriesを情報源ノードとして関連づけています。
確認日：2026年10月29日。修正手順や案内が更新されるため、適用時点の公式情報を確認してください。