30秒で判断
対応すべき人:
- NEC製サーバー製品（ExpressUpdate Agent for Windows搭載）を管理・運用している組織
対応不要な人:
- NECサーバー製品を使用していない
- ExpressUpdate Agentがインストールされていない環境
- 対象製品を使用していない
確認方法: Windowsのサービス一覧でExpressUpdate Agentの存在を確認。また、NEC製サーバー製品のマニュアルでExpressUpdate Agentの搭載有無を確認してください。
概要
日本電気株式会社（NEC）が提供するWindows向けサーバー更新管理エージェント「ExpressUpdate Agent for Windows」の名前付きパイプに対するIOCTL（Input/Output Control）インタフェースにアクセス制御不備が存在します。
本脆弱性（CWE-782: 保護されていないIOCTLの露出）により、本来はアクセスを制限すべき操作が、低権限ユーザーから実行できる可能性があります。サーバー管理エージェントとしての性質上、権限昇格や不正操作のリスクがあります。
情報セキュリティ早期警戒パートナーシップ（IPA/JPCERT/CC）を通じ、株式会社ラック 飯田雅裕氏が報告した脆弱性です。
CVSSベクトル
| 項目 | 値 | 説明 |
|---|---|---|
| CVSSスコア | 7.8 (High) | |
| CWE | CWE-782 | 保護されていないIOCTLの露出 |
| 攻撃条件 | ローカル | ローカルアクセスが必要 |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| ExpressUpdate Agent for Windows | 日本電気株式会社（NEC） | 詳細はJVN掲載情報を参照 |
修正バージョンと回避策
推奨対応: NECのJVN掲載情報（JVNDB-2026-000088）を参照して、提供されている対策を適用してください。
関連リンク
データソース: JVN iPedia (IPA/JPCERT/CC), NVD (NIST)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。