WatchGuard Agentに認証不要RCE 脆弱性 2件 CVE-2026-57909／57910、Windows版1.25.13.0000で修正|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月27日更新日時: 2026年08月27日

WatchGuardは2026年8月25日、Windows向けWatchGuard Agentに影響する2件のCritical 脆弱性、CVE-2026-57909とCVE-2026-57910を公表しました。いずれも認証されていない攻撃者による任意コード実行につながる可能性があります。

CVE-2026-57909はパストラバーサルに関する脆弱性で、隣接ネットワーク上の未認証攻撃者が影響を受ける端末上で任意コードを実行できる可能性があります。CVSS v4.0は9.4です。

CVE-2026-57910は認証処理の不備で、ネットワークからアクセス可能な未認証攻撃者がWatchGuard Agentに任意コードを実行させる可能性があります。WatchGuardは、成功した場合には通常rootまたはSYSTEMなどの高い権限でコードが実行されると説明しています。CVSS v4.0は9.3です。

Windows版WatchGuard Agent 1.25.13.0000で修正されています。WatchGuardは、記事執筆時点で両脆弱性が実際の攻撃で悪用された事実を把握していないとしています。

WatchGuard Agent脆弱性のサマリー

【確認済み】WatchGuardは2026年8月25日、CVE-2026-57909とCVE-2026-57910のアドバイザリを公開しました。
【確認済み】CVE-2026-57909はパストラバーサルに関連するRCE脆弱性で、CVSS v4.0は9.4（Critical）です。
【確認済み】CVE-2026-57909の攻撃元は「隣接ネットワーク」と評価されており、CVSS v4.0のAttack VectorはAdjacentです。
【確認済み】CVE-2026-57910は認証処理の不備によるRCE脆弱性で、CVSS v4.0は9.3（Critical）です。
【確認済み】CVE-2026-57910はネットワーク経由で攻撃可能と評価され、認証やユーザー操作は不要です。
【確認済み】CVE-2026-57910では、成功した場合に通常rootまたはSYSTEM権限で任意コードが実行される可能性があるとWatchGuardは説明しています。
【確認済み】WatchGuardのCVEレコードでは、Windows版WatchGuard Agent 1.25.13.0000未満が影響を受けます。
【確認済み】Windows版1.25.13.0000で両脆弱性が修正されています。
【未確認】WatchGuardは両脆弱性について実際の攻撃での悪用を把握していません。
【未確認】記事執筆時点でCISA KEV Catalogへの掲載は確認できませんでした。
【未確認】一次情報および確認できた公開情報では、実用的なPoCの公開は確認できませんでした。
【確認済み】NVD上のCISA-ADP評価では、両CVEのExploitationは「none」とされています。

項目	CVE-2026-57909	CVE-2026-57910
公表日	2026年8月25日	2026年8月25日
製品	WatchGuard Agent for Windows	WatchGuard Agent for Windows
脆弱性	パストラバーサルに関連するRCE	認証処理不備によるRCE
CVSS v4.0	9.4 Critical	9.3 Critical
攻撃元	隣接ネットワーク	ネットワーク
認証	不要	不要
ユーザー操作	不要	不要
影響	任意コード実行	高権限での任意コード実行
影響バージョン	1.25.13.0000未満	1.25.13.0000未満
Windows修正版	1.25.13.0000	1.25.13.0000
実悪用	WatchGuardは把握していない	WatchGuardは把握していない
CISA KEV	掲載確認できず	掲載確認できず
PoC	公開確認できず	公開確認できず

CVE-2026-57909、隣接ネットワークから認証不要でコード実行の可能性

CVE-2026-57909は、WatchGuard Agentに存在するパストラバーサルに関連する脆弱性です。

WatchGuardは、隣接ネットワーク上の未認証攻撃者が影響を受けるシステムで任意コードを実行できる可能性があると説明しています。

CVSS v4.0は9.4でCriticalです。ベクトルは「AV/AC/AT/PR/UI」とされており、Attack VectorがAdjacent、攻撃複雑性はLow、権限不要、ユーザー操作不要と評価されています。

成功した場合、WatchGuardはエンドポイント保護コンポーネントの機密性、完全性、可用性がすべて失われる可能性があるとしています。

NVDに登録されたWatchGuardのCVE情報では、CWE-94「Improper Control of Generation of Code」とCWE-306「Missing Authentication for Critical Function」が割り当てられています。

重要なのは、「リモートコード実行」という名称だけから、インターネット上の任意の場所から直接攻撃できる脆弱性と解釈しないことです。WatchGuardのCVSS評価では攻撃元はAdjacent Networkとなっており、同一または論理的に隣接するネットワークからの到達性が前提です。

CVE-2026-57910はネットワーク経由、高権限でのコード実行につながる可能性

CVE-2026-57910は、WatchGuard Agentの認証処理に関する脆弱性です。

WatchGuardによると、ネットワークアクセスが可能な未認証攻撃者が、Agentに任意コードを実行させる可能性があります。

CVSS v4.0は9.3でCriticalです。Attack VectorはNetwork、Attack ComplexityはLow、Privileges RequiredとUser InteractionはいずれもNoneです。

WatchGuardは影響について、UDPのディスカバリー／コマンドサービスとタスク実行処理に関する不備により、攻撃者が制御するプログラムをダウンロードして実行させる可能性があると説明しています。成功した場合の実行権限は通常rootまたはSYSTEMになるとしています。

本記事では、悪用につながる具体的な通信内容や操作手順は記載しません。

NVDに登録されたCVE情報では、CWE-306「Missing Authentication for Critical Function」に加え、CWE-347「Improper Verification of Cryptographic Signature」、CWE-494「Download of Code Without Integrity Check」が割り当てられています。

CVE-2026-57909とは異なり、CVE-2026-57910のCVSS Attack VectorはNetworkです。ネットワーク上でWatchGuard Agentの対象サービスへ到達可能な環境では、より広い範囲から攻撃対象となる可能性を考慮する必要があります。

Windows版1.25.13.0000で修正

WatchGuardのPSIRTでは、Windows版WatchGuard Agentについて1.25.13.0000未満を影響あり、1.25.13.0000以上を影響なしとしています。

WatchGuardのリリースノートによると、Windows Agent 1.25.13.000は2026年8月19日にリリースされ、CVE-2026-57909とCVE-2026-57910の修正が含まれています。PSIRTとCVEレコードでは修正版を1.25.13.0000と表記しているため、本記事では脆弱性対応バージョンとしてPSIRT側の表記を採用します。

WatchGuard Agentは、WatchGuard Cloudとネットワーク内のエンドポイントを接続するためのソフトウェアです。WatchGuard Endpoint Securityの各製品やEDR Core、FireCloud関連機能、ThreatSync+ NDR Collection Agentsなど、複数のWatchGuard製品・サービスで利用されています。

そのため、組織内で「WatchGuard Agent」という製品名を直接管理していない場合でも、WatchGuard Endpoint SecurityやEDR関連製品を利用している端末にAgentが導入されている可能性があります。

WatchGuardは実悪用を把握せず、CISA-ADPも「none」

WatchGuardはCVE-2026-57909、CVE-2026-57910の両アドバイザリで、実際の攻撃で悪用された事実を把握していないと明記しています。

NVDでは8月25日に両CVEが登録されました。CISA-ADPのSSVC情報でも、記事執筆時点でExploitationは両方とも「none」と評価されています。

また、CISA Known Exploited Vulnerabilities Catalogを確認しましたが、CVE-2026-57909とCVE-2026-57910の掲載は確認できませんでした。

したがって、現段階で「ゼロデイ」「実悪用済み」「攻撃で悪用中」などと表現する根拠はありません。

ただし、CVE-2026-57910はネットワーク経由、認証不要、ユーザー操作不要で高権限のコード実行につながる可能性があるため、実悪用が確認されていないことを理由に更新を先送りすべき脆弱性ではありません。

PoCの公開は確認できず

記事執筆時点で、WatchGuardのPSIRTはPoCやエクスプロイトコードを公開していません。

また、確認できた公開情報でも、CVE-2026-57909またはCVE-2026-57910に対する実用的なPoCが公開されたことを示す一次情報は確認できませんでした。

脆弱性の公表直後であることから、今後研究者による解析や技術情報の公開が進む可能性があります。PoCの公開を待ってから更新するのではなく、ベンダーがCriticalと評価している段階で修正版への移行を進めることが適切です。

情報システム部門への示唆

WatchGuard Endpoint SecurityやEDR Coreなどを利用している組織は、管理下のWindows端末でWatchGuard Agentのバージョンを確認し、1.25.13.0000以上へ更新されているかを確認する必要があります。

特にCVE-2026-57910は、ネットワークから到達可能であれば認証やユーザー操作なしに高権限での任意コード実行につながる可能性があります。端末向けセキュリティ製品のエージェント自体が侵害された場合、通常のアプリケーションより高い権限を持つプロセスが攻撃対象となるため、影響は大きくなります。

端末管理では、単に最新版の配信設定が有効になっていることだけでなく、実際に各端末が修正版へ到達しているかを確認することが重要です。WatchGuardは新バージョンを段階的に展開する場合があるため、管理画面上で未更新端末を抽出し、更新失敗や長期間オフラインの端末も確認する必要があります。

CVE-2026-57909については隣接ネットワークからの攻撃が前提となります。社内LANを広くフラットに構成している場合、1台の端末が侵害された後に同一ネットワーク内の他端末へ攻撃が広がる可能性を考慮する必要があります。端末間通信を必要以上に許可しないネットワーク分離やホストファイアウォールの設定も確認対象です。

CVE-2026-57910についてはNetworkベースの脆弱性であるため、Agentが利用する通信サービスを不必要なネットワークから到達可能にしていないかも確認します。外部公開の有無だけではなく、拠点間VPN、管理ネットワーク、VDI、サーバーセグメントなどからの到達性も含めて評価する必要があります。

WatchGuard関連では、セキュリティ対策Labでも過去にWatchGuard Fireboxの認証不要RCE脆弱性CVE-2025-14733を取り上げています。今回の問題はFireboxではなくエンドポイント側のWatchGuard Agentが対象であり、影響製品を混同しないよう注意が必要です。

現時点では実悪用は確認されていませんが、2件ともCriticalであり、特にCVE-2026-57910はネットワーク経由・認証不要・ユーザー操作不要という条件です。Windows版WatchGuard Agentを利用している組織は、1.25.13.0000への更新状況を早期に確認する必要があります。