Sophos UTMにCriticalの脆弱性―メール保護利用者へ手動パッチを要請

Sophosは2026年10月28日、UTMの脆弱性CVE-2026-118633を公表し、緊急の対応を求めました。公式の深刻度はCriticalです。認証されていない攻撃者が、機器上でroot権限のコマンドを実行するおそれがあります。

影響条件は、メールプロキシでスキャンを有効にしていることです。ファイルの扱いに関するパストラバーサルと処理の競合が関係し、攻撃を数分間繰り返して競合に成功すると成立すると説明しています。対象製品の欄は全バージョンですが、機器を保有しているだけで全構成に同じ攻撃が成立するという意味ではありません。

UTMはすでにサポートを終了しており、今回のパッチは手動での適用が必要です。メール保護機能を利用する管理者は、公式の適用手順を確認して対応してください。Sophosはサポート対象のSophos Firewallへの移行も案内し、回避策はないとしています。

この問題は外部研究者から報告されました。公表資料に実悪用を確認したとの記載はなく、Criticalという評価と侵入被害の確認は別です。更新完了の判断は自動更新の有効・無効ではなく、今回の手動パッチの適用結果で行う必要があります。