rConfig CVE-2026-124079はCritical。Redisのジョブキュー経由で任意コード実行
Redisに直接到達できる経路と、ログイン後に機器設定を使って内部キューに到達する経路があります。修正版はCore 8.2.19とPro 8.4.1です。
CVE公表日：2026-11-09 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約3分
VulnCheckは2026年11月9日、ネットワーク機器の設定を管理するrConfigのCVE-2026-124079を公開しました。開発元の告知は11月6日です。評価はCVSS v4.0で9.3、v3.1で9.8で、どちらもCriticalです。Core 8.0.0〜8.2.18とPro 8.4.0以前が対象です。
影響構成では、Laravel Horizonが使うRedisのジョブキューへ細工したデータを書き込むと、ワーカーがデータを復元する際にアプリのコマンド実行処理へ到達します。認証なしのRedisへ直接接続できる場合に加え、rConfigにログインできる利用者が機器の接続先をrConfigサーバー自身へ向け、アプリ経由で内部のキューへ到達する経路もあります。
攻撃が成立するとワーカーの実行権限でコードが動き、管理対象機器の認証情報やAPIトークンを読み取られるおそれがあります。開発元によると、一部のインストールではワーカーがrootで動いていました。
修正版はCore 8.2.19とPro 8.4.1です。開発元はRedisの認証を必須にし、自サーバーを機器の接続先に指定する経路を塞ぎ、ワーカーをroot以外で動かすよう変更しました。Redisの公開範囲も見直し、更新後はワーカーの実行ユーザーと、通常の機器設定の収集ジョブが完了することを確認してください。
出典と編集について
rConfig：rCFG-SA-2026-09 ↗rConfig Core 8.2.19の修正内容と更新手順 ↗
本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。