SKYSEAに5件の脆弱性、端末管理ソフトゆえの影響範囲

Ｓｋｙ株式会社は2026年8月24日、クライアント運用管理ソフトウェア「SKYSEA Client View」と医療機関向けIT機器管理システム「SKYMEC IT Manager」に計5件の脆弱性があると公表した。同日公開された JVNの脆弱性情報 では、影響を受ける製品、バージョン、攻撃条件と想定される影響がCVE別に示されている。

5件はいずれも、対象製品がインストールされたWindows端末へ攻撃者がログインできることが前提となる。そこから、同じ端末でSYSTEM権限のコード実行に至り得る2件と、UDPパケットを受信可能な別の管理対象端末でコードが実行され得る3件に分かれるため、インターネットからの無認証攻撃が直ちに成立するとの意味ではない。

2件は端末内の権限昇格、3件は別端末に影響

CVE-2026-66109は認可処理の欠如、CVE-2026-69665はインストール時の不適切なファイルアクセス権設定に関する脆弱性だ。いずれも、製品が入ったWindows端末へ低い権限でログインできる攻撃者が、その端末上でSYSTEM権限の任意コードを実行する可能性がある。

このうちCVE-2026-66109については、8月25日公開の TenableのCVE記録 も、対象Windowsシステムへログイン可能な攻撃者によるSYSTEM権限でのコード実行と評価している。「ローカル」が低影響を意味するわけではなく、一般ユーザーのアカウントや端末操作権をすでに奪われた場合に、OS上の強い権限へ到達する手段となり得る。

残るCVE-2026-68062とCVE-2026-68959はパストラバーサル、CVE-2026-68960はスタックベースのバッファオーバーフローである。ログイン済みの対象端末を起点に、UDPパケットを受信でき、同じ製品がインストールされた別のWindows端末上で任意コードが実行される可能性がある。

この3件には、起点となる端末へのログインと、送信先端末が該当するUDPパケットを受信できることの両方が必要だ。一方、端末管理ソフトはマスターサーバー、管理機、端末機など複数のWindowsシステムに配置されるため、条件を満たす環境では影響の確認対象がログインされた一台だけに限られない。これが、一般的な単体アプリのローカル脆弱性とは異なる影響範囲である。

対象バージョンは製品とCVEで異なる

SKYSEA Client Viewでは、CVE-2026-66109とCVE-2026-68960がVer.21.210.01f以前、CVE-2026-68062とCVE-2026-68959がVer.19.300.09hからVer.21.210.01fまでを対象とする。後者2件は下限が明記されており、すべての旧版を一律に含む範囲ではない。

CVE-2026-69665はVer.21.300.12g以前が対象となる。このため、Ver.21.210.01fより新しい版へ更新済みでも、CVE-2026-69665については影響範囲に残る場合がある。製品のメジャーバージョンだけでなく、末尾を含む完全なバージョン番号との照合が必要だ。

SKYMEC IT Managerでは、CVE-2026-66109とCVE-2026-68960の対象がVer.2023.225.03aおよびVer.2024.005.10a、CVE-2026-68062とCVE-2026-68959はVer.2024.005.10aである。CVE-2026-69665だけは範囲の示し方が異なり、Ver.2025.205.08a以前が対象となる。

対象プログラムには、グローバルマスターサーバーとセカンダリサーバーを含むマスターサーバー、管理機、端末機、スタンドアロン端末機が含まれる。対象OSはいずれもWindowsであり、製品に関連するすべての機器やOSが同じ条件で影響を受けるとの公表ではない。

CVSSだけでは読み取れない攻撃条件

CVE-2026-66109とCVE-2026-69665のCVSS基本値は、v4.0が8.5、v3.0が7.8である。いずれも攻撃元区分はローカルで、低い権限によるログインが必要だが、成立すれば同じ端末の機密性、完全性、可用性に高い影響が想定されている。

別端末に影響し得る3件は、v4.0が5.8、v3.0が8.5となる。評価方式によって数字の大小が逆転しているのは、v4.0が脆弱な起点端末への直接的な影響と、後続システムである受信側端末への影響を分けて表現するためだ。v4.0の5.8だけを見て端末間の影響を軽いと判断するのは適切ではない。

確認すべきなのは、対象版の有無に加え、一般利用者が製品導入端末へログインできるか、管理対象端末間で該当するUDPパケットを受信できるかという実際の構成である。5件を同じ攻撃経路として扱うと、ローカル権限昇格の対象と、受信側を含めて調べるべき端末間の問題を取り違える。

修正経路は通常版、M1 Cloud Edition、SKYMECで分かれる

Ｓｋｙの公式告知 では、通常のSKYSEA Client ViewについてVer.21.310.01a以降へのアップデート、または保守契約ユーザー用Webサイトで提供する修正モジュールの適用を案内している。同サイトへのログインにはユーザーIDとパスワードが必要となる。

SKYSEA Client View M1 Cloud Editionでは、2026年8月24日から修正モジュールが配信され、端末機へ順次自動適用される。配信開始と全端末への適用完了は同じではないため、管理画面などで各端末の実際の適用状態を確認する必要がある。

SKYMEC IT Managerには専用の修正モジュールが提供され、保守契約ユーザー用Webサイトからの適用が案内されている。通常版のアップデートまたは修正モジュール、M1 Cloud Editionの順次自動適用、SKYMEC IT Managerの修正モジュールは別の経路であり、複数形態を併用する環境ではそれぞれの完了状況を分けて把握する必要がある。

現時点で確定している対応は、Windows版のマスターサーバー、管理機、端末機、スタンドアロン端末機について完全なバージョン番号を確認し、該当する製品形態の更新または修正モジュールを適用することだ。端末内で完結する2件と別端末を受信側として含む3件を分けることで、必要な調査範囲と修正状況を正確に管理できる。