米CISAは、ソリトンシステムズのファイル転送製品FileZenに存在するOSコマンドインジェクション脆弱性 CVE-2026-25108について、既に悪用が確認された脆弱性カタログ（KEV）に追加しました。KEVデータ（CISA公開のJSON）では、当該CVEの追加日を2026年2月24日、対応期限を2026年3月17日としています。
国内でも、JPCERT/CCはソリトンシステムズが本脆弱性の悪用を確認しているとしたうえで、早期のアップデート適用と侵害有無の調査を検討するよう注意喚起しています。
概要
CVE-2026-25108は、FileZenへログオンできるユーザーが、細工したHTTPリクエストを送信することで、任意のOSコマンドを実行される可能性がある脆弱性です。JVNでも同様に、ログイン済みユーザーによる細工リクエストで任意コマンド実行の可能性が示されています。
影響を受けるバージョン
FileZen V4.2.1～V4.2.8、V5.0.0～V5.0.10です。FileZen Sは影響を受けないとされています。
対策バージョン
V5.0.11（V5.0アップデートパック11）への更新が基本線で、JPCERT/CCも修正済みファームウェアとしてV5.0.11を挙げています。
原因
ソリトンシステムズの案内では、ログオン後画面の特定フィールドに対するコマンドインジェクション（CWE-78）が原因だと整理されています。
また、成立条件として少なくとも次の2点が必要だとしています。
-
FileZenウイルスチェックオプションが有効である（Bitdefenderライセンス購入環境が前提になる旨の記載あり）
-
攻撃者がFileZen Webサイトにユーザーログオンできる状態である（認証情報漏えい、または推測等でログオンに成功）
このため、ゼロクリックで外部から即RCEというタイプではなく、まず有効なアカウントを押さえたうえで悪用される類型です。一方で、KEVに追加されたという事実は、実際に攻撃が観測されていることを意味します。
関連記事
MITRE、2025年版 最も危険なソフトウェア 脆弱性トップ25を公表
NEC「Aterm」シリーズのルーターで複数の脆弱性 不正アクセスで権限乗っ取りの可能性も
東芝の複合機「e-STUDIO」の複数のシリーズで脆弱性
FileZenのログオン後画面にコマンドインジェクション 脆弱性、被害報告(CVE-2026-25108、JVN#84622767)
PostgreSQL、5つの重大な脆弱性を修正(CVE-2026-2004,CVE-2026-2005,CVE-2026-2006,CVE-2026-2007,CVE-2026-2003)
n8nで複数の重大な脆弱性、大規模スキャンも観測(CVE-2026-25049,CVE-2026-21858)
Google、Chrome 145のデスクトップ向け安定版で3件の重大な脆弱性を修正(CVE-2026-2313,CVE-2026-2314,CVE-2026-2315)
CISAが5件の深刻な脆弱性をKEVカタログに追加-ASUSルーターやCraft CMSにリモートコード実行リスク
CISA、FortiWebのゼロデイ「CVE-2025-58034」をKEVに追加
