サイバーセキュリティ

ExpressUpdate Agent for Windowsにおける名前付きパイプに対するアクセス制御不備の脆弱性

日本電気株式会社が提供するExpressUpdate Agent for Windows 3.24およびそれ以前のバージョンに、内部で使用している名前付きパイプのアクセス制御設定不備の脆弱性（CVE-2026-8797）が存在することが発表されました。この脆弱性により、当該製品にログインした管理者権限を持たないユーザーによって、SYSTEM権限で任意のコードが実行される可能性があります。本脆弱性はバージョン3.25で修正されており、開発者は最新版へのアップデートを推奨しています。

この発表の要点

日本電気株式会社製ExpressUpdate Agent for Windows 3.24以前のバージョンにアクセス制御不備の脆弱性（CVE-2026-8797）が存在する。
管理者権限を持たないユーザーがSYSTEM権限で任意のコードを実行する可能性がある。
本脆弱性はバージョン3.25で修正されており、速やかなアップデートが推奨されている。

企業・自治体への影響

ExpressUpdate Agent for Windowsをサーバー製品の更新管理エージェントとして利用している企業や組織は、システム全体のセキュリティリスクに直面する可能性があります。特に、IT部門や情報システム部門は、自社環境における対象製品の利用状況を確認し、早急な対応が求められます。

対応すべきこと

自社システム内でExpressUpdate Agent for Windows 3.24およびそれ以前のバージョンが使用されていないか確認する。
対象製品を使用している場合、速やかにバージョン3.25以降へのアップデート計画を策定し実行する。
情報システム部門やセキュリティ担当者へ本脆弱性情報を共有し、対応状況を管理する。

対象部門： 情シス経営者

対応期限：速やかに確認

基本データ

企業・団体	日本電気株式会社
業界	IT・ソフトウェア
発表日	2026-06-26
分類	サイバーセキュリティ

発表された内容

公開日：2026/06/26 最終更新日：2026/06/26

JVN#35146924
ExpressUpdate Agent for Windowsにおける名前付きパイプに対するアクセス制御不備の脆弱性

日本電気株式会社が提供するExpressUpdate Agent for Windowsには、内部で使用している名前付きパイプのアクセス制御設定に不備が存在します。

ExpressUpdate Agent for Windows 3.24およびそれ以前

日本電気株式会社が提供するExpressUpdate Agent for Windowsは、同社製サーバ製品の更新管理エージェントです。
ExpressUpdate Agent for Windowsには、次の脆弱性が存在します。

IOCTLに対するアクセス制御不備（CWE-782)

CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 8.5
CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 基本値 7.8
CVE-2026-8797

当該製品にログインした管理者権限を持たないユーザによって、SYSTEM権限で任意のコードを実行される可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
本脆弱性は、次のバージョンで修正されています。

ExpressUpdate Agent for Windows 3.25

ベンダ
ステータス
ステータス最終更新日
ベンダの告知ページ

日本電気株式会社

該当製品あり

2026/06/26

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。
報告者：株式会社ラック飯田雅裕氏

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

JVN iPedia

JVNDB-2026-000088

出典: jvn@jvn.jp
URL: https://jvn.jp/jp/JVN35146924/

時系列

2026-06-26　ExpressUpdate Agent for Windowsの脆弱性情報が公開される
2026-06-26　ベンダーステータスが最終更新される

主な数値

影響を受ける製品バージョン	3.24およびそれ以前
修正済み製品バージョン	3.25バージョン
CVSSv4.0基本値	8.5点
CVSSv3.0基本値	7.8点
CVE識別番号	CVE-2026-8797番号
JVN識別番号	JVN#35146924番号
JVNDB識別番号	JVNDB-2026-000088番号

この事例から確認すべきポイント

この脆弱性情報は、日本電気株式会社が提供するExpressUpdate Agent for Windowsにおける深刻なアクセス制御不備を指摘しています。管理者権限を持たないユーザーがSYSTEM権限で任意のコードを実行できる可能性は、システム全体のセキュリティを脅かす重大なリスクです。企業は、自社システム内で当該製品のバージョン3.24以前が使用されていないか緊急に確認する必要があります。特に、サーバー製品の更新管理エージェントとして利用されている場合、その影響範囲は広範に及ぶ可能性があります。修正版であるバージョン3.25への速やかなアップデートが必須であり、アップデート計画の策定と実行が求められます。このような脆弱性情報は、サプライチェーン全体のセキュリティ管理の重要性を改めて示唆しています。

公式出典

jvn@jvn.jp

更新履歴

公開日: 2026-06-26