FileZenのログオン後画面にコマンドインジェクション脆弱性、被害報告(CVE-2026-25108、JVN#84622767)|セキュリティとIT ニュース-セキュリティ対策Lab

投稿日時: 2026年02月16日更新日時: 2026年02月16日

ソリトンシステムズは2026年2月13日、ファイル転送製品FileZenのログオン後画面におけるコマンドインジェクション脆弱性（CWE-78）について注意喚起を公開しました。脆弱性はCVE-2026-25108として識別され、JVN#84622767としても公表されています。
同社は本脆弱性について、悪用による被害報告を1件以上受けているとも明記しています。

関連：【2025年】サイバー攻撃の事例

1 概要
2 影響を受けるバージョン
3 対処方法
4 原因
5 想定される影響
6 悪用状況

概要

本件は、FileZenにログオンした後の画面に存在する特定フィールドの処理に起因して、細工された入力によりOSコマンドが実行され得る脆弱性です。CVSSはv3.0で基本値8.8、v4.0で基本値8.7と評価されており、遠隔からの任意コマンド実行につながる可能性がある点がリスクです。

関連：【2025年】ゼロデイ攻撃の事例

影響を受けるバージョン

ソリトンシステムズの案内では、対象はFileZen V4.2.1〜V5.0.10（物理版・仮想版を問わず）とされています。
JVNおよびIPAでは、V4.2.1〜V4.2.8、V5.0.0〜V5.0.10が影響範囲として示されており、製品系統ごとの実運用バージョンにより該当有無を確認する必要があります。

対処方法

対策はアップデートのみです。FileZenをV5.0.11以降へ更新するよう案内されています。

原因

脆弱性の種別はOSコマンドインジェクション（CWE-78）で、ログオン後画面の特定フィールドに投入された値が、内部でOSコマンドの実行に結びつく形で処理されることで成立します。
なお、成立条件としてウイルスチェックオプションが有効であること（BitDefenderライセンスを購入していない環境は対象外）と、攻撃者が少なくとも一般ユーザー権限でログオンできることが挙げられています。

想定される影響

条件を満たす場合、遠隔の第三者によりFileZen内部で任意のOSコマンドが実行される可能性があります。
ログオンが前提とはいえ、アカウント情報の漏えいやパスワード推測などで一般ユーザーとして侵入されると、機器内部の操作・改変や踏み台化など、被害が拡大する恐れがあります（JVNでも任意OSコマンド実行の可能性が示されています）。