GoAnywhere MFTに任意ファイル読取、7.10.2未満は更新を

Fortraは2026年9月9日、GoAnywhere MFT 7.10.2未満に影響するパストラバーサル脆弱性CVE-2026-15913を公開した。Fortraの製品セキュリティ勧告 は、特定の権限を持つWeb Userが自身のホームディレクトリを抜け、任意のファイルを読み取れると説明し、7.10.2以降への更新を修正策としている。

カナダのCyber Centreは2026年9月10日、GoAnywhere MFT Endpointへの更新勧告 を公開し、7.10.2未満を影響対象に挙げた。ただし、これは認証なしで誰でも悪用できる脆弱性ではない。成立にはSecure FoldersとSecure Mailの両権限を持つWeb Userが必要で、自社管理環境とMFT as a Serviceでは対応が分かれる。

悪用には二つの権限を持つWeb Userが必要

CVE-2026-15913は、GoAnywhere MFTの「/attachRemoteFiles」エンドポイントに存在する。攻撃の前提となるのは、Secure FoldersとSecure Mailの両方を利用できるWeb Userであり、細工したファイルパスを添付処理に渡すことで、サンドボックス化されたホームディレクトリの外へ到達できる。

したがって、製品がインターネットに公開されているだけで、未認証の第三者が直ちに任意ファイルを読めるという説明は正確ではない。一方、該当するWeb Userの認証情報を第三者が取得している場合や、外部利用者に両権限を付与している場合には、悪用に必要な条件がそろい得る。

影響確認では、管理者アカウントだけでなく、取引先や顧客とのファイル交換に使うWeb Userも対象となる。公開された成立条件に照らすと、Secure FoldersかSecure Mailの一方しか利用できないWeb Userは、この脆弱性の悪用条件には合致しない。

影響はホームディレクトリ外のファイル読取

この問題はCWE-23の相対パストラバーサルに分類される。単に別のフォルダー名が表示される問題ではなく、制限されたホームディレクトリの境界を越え、サーバー上のファイルを読み取れる点が中心的な影響となる。

GitHub Advisory Databaseの登録内容 では、深刻度はHigh、CVSS 3.1の基本値は7.7で、ベクトルは「AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N」とされている。ネットワーク経由で悪用でき、攻撃条件の複雑さと必要権限はLow、利用者操作は不要と評価される一方、公開された評価上の影響は機密性がHigh、完全性と可用性はNoneである。

「任意ファイル読取」は、OS上のあらゆるファイルを無条件に取得できるという意味ではない。実際に読める範囲は、GoAnywhere MFTの実行アカウントに与えられたOS権限や導入構成にも左右される。公開情報から確定できるのは、Web User用ホームディレクトリの外へ到達できることと、それが機密性の侵害につながることまでだ。

自社管理版とMFT as a Serviceで対応が分かれる

対応の分岐点は導入形態である。自社管理のGoAnywhere MFTでは、稼働版が7.10.2未満なら影響対象となり、ベンダーが示す修正済みの7.10.2以降へ更新する必要がある。複数ノードや待機系を運用している場合は、通信を受け付ける古いインスタンスが残らないよう、各ノードの実際の稼働版を確認する。

• 自社管理環境の7.10.2未満：影響対象。7.10.2以降へ更新する。
• 自社管理環境の7.10.2以降：今回の脆弱性について修正済みの版に該当する。
• MFT as a Service：サービス環境のセキュリティ制御によって、顧客はこの脆弱性の悪用から保護されていると案内されている。

MFT as a Serviceについて示されているのは、サービス環境側の制御による保護であり、脆弱性が技術的に存在しないという説明ではない。サービス利用者は自社管理版向けの更新手順をそのまま適用するのではなく、契約している環境とベンダーからの通知を確認する必要がある。反対に、自社管理環境がサービス側の制御で自動的に保護されると考えることもできない。

影響判定は版、権限、導入形態の三点で行う

運用担当者が確認すべき項目は、稼働版、Web Userの権限、導入形態の三点に絞られる。まず自社管理環境かMFT as a Serviceかを特定し、自社管理なら全インスタンスの版を調べる。7.10.2未満が一つでも稼働していれば更新対象となる。

次に、Secure FoldersとSecure Mailの両権限を同時に持つWeb Userを洗い出す。不要な権限を外すことは攻撃条件を減らす措置になり得るが、公開された恒久対策は7.10.2以降への更新であり、権限変更だけを修正の代わりにはできない。

公開された三つのページから確認できる範囲では、具体的な侵害指標や検知クエリは示されていない。このため、影響調査が必要な組織は、Web Userの認証履歴、ファイル添付処理、ホームディレクトリ外へのアクセスに関する記録を、自社で保持しているログと構成に即して確認することになる。現時点の確定事項は、7.10.2未満が対象であること、悪用に両権限を持つWeb Userが必要であること、自社管理環境の修正先が7.10.2以降であることだ。