1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 情報セキュリティ
  4. ソリトンシステムズ、Soliton SecureWorkspace／SecureBrowser II／OneGate版SecureBrowserに権限設定不備の脆弱性(CVE-2026-27653、JVN#41357120)

ソリトンシステムズ、Soliton SecureWorkspace／SecureBrowser II／OneGate版SecureBrowserに権限設定不備の脆弱性(CVE-2026-27653、JVN#41357120)

セキュリティニュース

投稿日時: 更新日時:

ソリトンシステムズ、Soliton SecureWorkspace／SecureBrowser II／OneGate版SecureBrowserに権限設定不備の脆弱性(CVE-2026-27653、JVN#41357120)

ソリトンシステムズは2026年2月27日、Soliton SecureWorkspace、Soliton SecureBrowser II（Windows版）、Soliton SecureBrowser for OneGate（Windows版）において、インストール時の不適切なファイルアクセス権設定に起因する脆弱性（CVE-2026-27653、JVN#41357120）を修正したと告知しました。JPCERT/CCと調整のうえで公表しており、該当する環境では最新版へのアップデートを求めています。

概要

本脆弱性の特徴は「全ユーザーが無条件に影響を受ける」タイプではなく、デフォルト以外のインストールパスを使っている場合に該当する点です。該当条件を満たすと、ローカル環境でSYSTEM権限で任意のコードを実行される可能性があるとされています（ローカル権限昇格の類型）。

また、現時点で本脆弱性悪用による被害報告は受けていないとしています。

対象製品と影響バージョン

影響を受けるのは以下のバージョンです。

  • Soliton SecureWorkspace：V1.0.0〜V1.4.7（V1.4.1までの製品名称はSoliton WrappingBox）

  • Soliton SecureBrowser II（Windows版）：V2.0.0〜V2.0.14

  • Soliton SecureBrowser for OneGate（Windows版）：V1.0.0

脆弱性の内容

脆弱性概要

  • 内容：インストール時の不適切なファイルアクセス権設定（CWE-276）

  • 識別子：CVE-2026-27653、JVN#41357120

  • CVSS：記載ではCVSS v4 基本値5.4、CVSS v3 基本値6.7

該当条件

デフォルト以外のパスにインストールしている場合に該当します。告知に記載されているデフォルトインストールパスは以下です。

  • Soliton SecureWorkspace（Soliton WrappingBox）／Soliton SecureBrowser II（Windows版）
    %ProgramFiles(x86)%¥Soliton WrappingBox

  • Soliton SecureBrowser for OneGate（Windows版）
    %ProgramFiles(x86)%¥Soliton SecureBrowser

影響

該当条件を満たす場合、SYSTEM権限で任意のコードを実行される可能性があるとしています。

対策

修正版へのアップデートが案内されています。

  • Soliton SecureWorkspace：V1.4.8（2026年2月20日リリース）

  • Soliton SecureBrowser II（Windows版）：V2.0.15（2026年2月20日リリース）

  • Soliton SecureBrowser for OneGate（Windows版）：V1.0.1（2026年2月27日リリース）

アップデート時の注意点

実務上の注意として重要なのが、非デフォルトパスにインストールしている環境でアップデートすると、インストール先がデフォルトパスに強制変更される点です。これは「デフォルトパス以外にインストールできないよう仕様変更した」と明記されています。

そのため、非デフォルトパス運用には何らかの事情がある可能性が高く、いきなり全台展開せず、パイロット端末で事前検証することが推奨されています。

関連記事

MaLion 端末エージェント（Windows）で複数の深刻な脆弱性(CVE-2025-59485 ,CVE-2025-62691, CVE-2025-64693)MaLion 端末エージェント（Windows）で複数の深刻な脆弱性(CVE-2025-59485 ,CVE-2025-62691, CVE-2025-64693) IBMのHSM連携基盤「CCA」に深刻な脆弱性（CVE-2025-13375）　早急な更新を推奨IBMのHSM連携基盤「CCA」に深刻な脆弱性（CVE-2025-13375）　早急な更新を推奨 FFRI AMCとOEM製品（NEC、Sky）で脆弱性｜JVN#26734798FFRI AMCとOEM製品（NEC、Sky）で脆弱性｜JVN#26734798 SAP、11月の月例パッチで緊急2件を含む20件を修正-(CVE-2025-4289,CVE-2025-42887)SAP、11月の月例パッチで緊急2件を含む20件を修正-(CVE-2025-4289,CVE-2025-42887) VMware Aria Operationsに複数の脆弱性(CVE-2026-22719 / CVE-2026-22720 / CVE-2026-22721)VMware Aria Operationsに複数の脆弱性(CVE-2026-22719 / CVE-2026-22720 / CVE-2026-22721) 富士通のAuthConductor Client Basic V2に脆弱性、SYSTEM権限での不正操作の恐れ富士通のAuthConductor Client Basic V2に脆弱性、SYSTEM権限での不正操作の恐れ React Server Components/Next.jsの脆弱性(React2Shell:CVE-2025-55182)がサイバー攻撃へ悪用-F5 Labsが警告React Server Components/Next.jsの脆弱性(React2Shell:CVE-2025-55182)がサイバー攻撃へ悪用-F5 Labsが警告 Advanced Custom Fields (ACF)でクロスサイトスクリプティングの脆弱性（CVE-2024-45429)Advanced Custom Fields (ACF)でクロスサイトスクリプティングの脆弱性（CVE-2024-45429) FileZenのログオン後画面にコマンドインジェクション 脆弱性、被害報告(CVE-2026-25108、JVN#84622767)FileZenのログオン後画面にコマンドインジェクション 脆弱性、被害報告(CVE-2026-25108、JVN#84622767)