B43/100
脆弱性 · 高 · CVSS 7.7
Zabbix 7.4.10以前のセッション鍵固定問題 CVE-2026-23933
ティアB · 今週中にパッチ – 次のスプリントで対応
影響を受ける人： Zabbix 7.4.0〜7.4.10を使用し初期鍵を変更していない環境
ティアBの理由： 完全な乗っ取り または シークレットの流出 または サプライチェーン
影響範囲
攻撃
被害
修正
人気ツール · 完全な乗っ取り
取るべき対応
- Zabbixを7.4.11以降に更新する
- 自分のZabbixのデータベースが固定の初期鍵を使っていないか確認する
要点
- Zabbix 7.4.0〜7.4.10では、フロントエンドのセッションに署名する鍵がデータベースの初期データに固定値で入っていた
- 脆弱性はCVE-2026-23933として識別され、CVSS 4.0で7.7と評価されている
- 7.4.11で修正されており、自分のデータベースが影響を受けるかを確認する必要がある
なぜ重要か
固定のセッション署名鍵が使われていると、攻撃者が既知の鍵で不正なセッションを作成できる可能性があるため、Zabbixを運用する開発者や管理者は影響範囲を早急に確認する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中3項目が「はい」
| はい | 開発者に影響 | Zabbixは運用チームが監視に使うソフトウェアであり、運用担当が影響を受けるため |
| いいえ | 基幹インフラ | Zabbixは単一ベンダーの監視製品であり、ほぼすべてのチームが運用する基幹インフラではない |
| はい | 人気ツール | Zabbixは国内外で広く使われる監視ツールであり、多くの運用チームが採用している |
| いいえ | 悪用確認済み | Qiita記事は脆弱性の概要と修正版を述べるのみで、実際の悪用は報じていない |
| いいえ | 公開エクスプロイト | Qiita記事に公開されたエクスプロイトや詳細な概念実証の記述はない |
| いいえ | 認証不要のリモート攻撃 | CVSSCVSS: CVE-2026-23933 AV:A/PR:N/UI:N |
| はい | 完全な乗っ取り | CVSSCVE-2026-23933：CVSSは機密性と完全性への影響をともに「高」と評価 |
| いいえ | シークレットの流出 | Qiita記事は固定鍵の存在を述べるが、攻撃者がそれを盗んだとは報じていない |
| いいえ | サプライチェーン | Qiita記事に悪意あるコードの配布やパッケージ侵害の記述はなく、通常の脆弱性である |
| いいえ | 修正なし | Qiita記事によれば7.4.11で修正済みであり、修正版が提供されている |
公式の記録
CVE.org、CISAのKnown Exploited Vulnerabilitiesカタログ、FIRST EPSS、GitHub Advisory Databaseによる情報です。これらがチェックリストの項目に答えている場合は、報道より優先します。
CVE-2026-23933 ↗CVSS 7.7 high AV:A/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Hardcoded session key in Zabbix 7.4
- 悪用確認済み
- CISAの悪用カタログには未掲載
- EPSS
- 今後30日間に悪用される確率は<1% · 全CVEの48%より高い
- 脆弱性の種類
- CWE-259
出典
Zabbix 7.4.10 以前は固定のセッション鍵。自分のDBが当たるか確かめる ↗ Securityタグが付けられた新着記事 - Qiita · 2時間前