Sophos UTM、WatchGuard Fireware OS、Pythonの通信ライブラリTwistedで、脆弱性への対応情報が公開されています。機器を遠隔操作されるおそれがあるものと、サーバーが応答できなくなるものがあり、確認する設定も異なります。
Sophos UTMは手動でのパッチ適用が必要です。WatchGuardは機種に合う修正版を、TwistedはHTTP/2の利用状況と修正リリースを確認してください。この記事では、2026年10月30日に確認した公式情報をもとに、管理者が確認する点をまとめます。
まず確認：3件の対象と対応の違い
| 対象 | 主な影響 | 最初に確認すること |
| Sophos UTM | 認証なしで管理者権限のコマンドを実行されるおそれ | メールプロキシのスキャン利用と手動パッチ |
| WatchGuard Fireware OS | コード実行・権限昇格・サービス妨害など | 機種・OS系統・利用機能 |
| TwistedのHTTP/2サーバー | CPUを消耗させられ、応答困難になるおそれ | TwistedのバージョンとHTTP/2の公開状況 |
これらの製品を使っていない一般利用者が、PCやスマートフォンに専用パッチを入れる必要はありません。機器の管理を委託している場合は、委託先へ対象の有無と対応状況を確認してください。
Sophos UTM：メール保護を使っている場合は手動パッチを確認
Sophosは10月28日、CVE-2026-118633への対策を公表しました。対象はSophos UTMの全バージョンです。メールプロキシでスキャンを有効にしている場合、条件がそろうと、認証していない攻撃者にroot権限で任意のコマンドを実行されるおそれがあります。
rootは機器の管理に使う強い権限です。攻撃が成立すると、機器上で意図しない処理を実行される危険があります。通常のメールの受信操作で、利用者自身が設定を変更して直せる問題ではありません。
公式告知ではUTMを製品寿命終了（EOL）とし、緊急対応と手動パッチの適用を求めています。自動更新を待たず、下記の公式手順で適用対象と作業内容を確認してください。公式は、サポート対象のSophos Firewallへの移行も案内しています。
管理者はメール保護機能の使用状況を確認し、設定のバックアップと作業時間を確保してから適用します。具体的なコマンドやパッチファイルは、公式手順の最新版を利用してください。悪用の有無は、今回確認した公式告知では明記されていません。
出典：Sophos公式セキュリティアドバイザリ（10月28日）
WatchGuard：Fireware OSの17件は利用機能ごとに確認
WatchGuardの公式一覧では、10月27日付でFireware OSの脆弱性17件が掲載されています。このうち7件はCVSSスコアが9.0以上です。コード実行、設定情報の取得、サービス妨害など、影響と成立条件は各項目で異なります。
たとえばCVE-2026-93857は、FireboxでSIPプロキシを設定している場合に影響します。細工された要求により、認証なしで任意のコードを実行されるおそれがあります。SIPプロキシを使っていない場合も、残りの脆弱性への該当確認は必要です。
| CVE-2026-93857の系統 | 影響する範囲 | 修正版 |
| 通常系統 | 2025.1以上2026.4未満／12.0以上12.12.4未満 | 2026.4／12.12.4 |
| T15・T35 | 12.0以上12.5.22未満 | 12.5.22 |
この表はSIPプロキシの脆弱性の対象範囲です。17件すべての条件を示すものではありません。VPNや認証、クラスタ構成など、使用している機能を公式一覧から確認してください。
CVE-2026-93857について、WatchGuardは実環境での悪用を把握していないとしています。更新前には、対象機種がそのOSを利用できるか、管理ソフトとの互換性、再起動による通信停止を確認し、保守会社と作業時間を調整してください。
出典：WatchGuard公式・CVE-2026-93857
Twisted：HTTP/2でCPUを消耗させるDoS、修正版は候補版
GHSA-vpp8-g58w-m8mpは、TwistedのHTTP/2サーバーに関する脆弱性です。認証していない相手からの通信でCPUに負荷が集中し、正規の利用者へ応答できなくなるおそれがあります。公式アドバイザリでは、情報の読み取りや改ざん、コード実行への影響は示されていません。
GitHub Advisory Databaseでは、影響バージョンは26.4.0以下、修正版は26.10.0rc1とされています。rcはリリース候補版を意味します。正式版と同じ扱いで本番環境へ一律に入れず、開発元のリリース状況とアプリの互換性を確認してください。
開発元による公開は10月22日、GitHub Advisory Databaseへの登録は10月29日です。攻撃の仕組みを示すPoCの記載がありますが、PoCの公開だけで実際の被害が発生したとは判断できません。今回確認した公式資料から実被害の有無は分かりません。
自社開発アプリだけでなく、製品に組み込まれたTwistedも確認対象です。担当者や製品ベンダーへ、使用バージョンとHTTP/2を処理する箇所を確認してください。更新までの一時対応としてHTTP/2の停止などを検討する場合も、サービスへの影響と構成上の有効性を先に検証します。
出典：GitHub公式アドバイザリ・GHSA-vpp8-g58w-m8mp
管理者・委託先に確認する4項目
まず製品名・機種・バージョンを一覧にし、次に脆弱性に関係する機能の利用状況を確認します。そのうえで修正方法と作業日を決め、作業後に通信やサービスが正常に使えるか確認してください。
| 確認事項 | 記録する内容 |
| 対象 | 製品名・機種・OSやライブラリのバージョン |
| 構成 | メールスキャン・SIPプロキシ・HTTP/2などの利用状況 |
| 対応 | 公式手順・修正バージョン・適用予定日 |
| 作業後 | バージョンやパッチの適用結果・通信確認・異常ログの有無 |
設定や構成の確認方法が分からない場合は、保守会社へ「対象かどうか」「いつ修正するか」「修正後の確認結果」を回答してもらうと、対応漏れを防ぎやすくなります。
確認日：2026年10月30日（日本時間）。修正版や悪用状況は変わる場合があります。適用前に各公式ページの最新情報をご確認ください。
