結論：確認すべきはCVSSの数字ではなく、自社の台帳が信用できるかどうか
2026年8月24日、JPCERT/CCとIPAが運営するJVNと、開発元のSky株式会社が、SKYSEA Client ViewおよびSKYMEC IT Managerの5件の脆弱性を同日に公表しました。対象製品を使っている企業がまずやることは、バージョンを確認して修正モジュールを当てることです。それは前提として、この公表にはもう一段深い論点が含まれています。
5件のうち2件について、JVNは「この問題は、JVN#84326763で公表したCVE-2024-41726への修正が不十分なため発生した問題であると報告されています」と明記しています。つまり2024年7月に公表された脆弱性が、2026年8月の時点でまだ完全には塞がっていなかったということです。当時この製品を使っていて対応を済ませ、台帳に「対応済み」と記録した企業にとっては、その記録の意味が変わる話です。
この記事は、情シスが0〜1名の中堅企業で、資産管理ツールの運用を情シス担当者や導入ベンダーに任せている経営者・管理部門長に向けて書いています。今日中にやるべきバージョン判定と、「対応済み」という記録を今後どう扱うかという運用の見直しを、順に示します。
EMERGENCY RESPONSE
この脆弱性、貴社システムは影響を受けますか？
影響範囲の一次評価を無料で実施。致命的脆弱性は24時間以内にアラートし、パッチ適用・恒久対応まで伴走します。
公表された5件の内容
Sky株式会社の告知とJVNの記載を突き合わせると、5件の内訳は次のとおりです。
横にスクロールして確認できます
| CVE | 種別 | CVSS 4.0 | CVSS 3.0 | 備考 |
|---|---|---|---|---|
| CVE-2026-66109 | 認可処理の欠如（CWE-862） | 8.5 | 7.8 | — |
| CVE-2026-68062 | パストラバーサル（CWE-22） | 5.8 | 8.5 | CVE-2024-41726への修正が不十分 |
| CVE-2026-68959 | パストラバーサル（CWE-25） | 5.8 | 8.5 | CVE-2024-41726への修正が不十分 |
| CVE-2026-68960 | スタックベースのバッファオーバーフロー（CWE-121） | 5.8 | 8.5 | — |
| CVE-2026-69665 | インストール時の不適切なファイルアクセス権設定（CWE-276） | 8.5 | 7.8 | — |
ここで気づいてほしいのは、CVSSのバージョンによって順位が入れ替わっている点です。CVSS 4.0で最も高いのは66109と69665（8.5）ですが、CVSS 3.0で最も高いのは68062・68959・68960（8.5）で、66109と69665は7.8に下がります。同じ脆弱性が、採用する評価体系によって「上位」にも「下位」にもなります。
社内で「スコアが高いものから直す」という運用をしている場合、どちらのスコアを見るかで作業順が変わってしまいます。5件は今回まとめて公表され、製品・利用形態ごとに案内されたアップデートまたは修正モジュールで対処する対象です。個別に順位をつけて着手する場面ではありません。スコアで優先順位を決める運用そのものが、こういう場面で判断を止める原因になります。
影響は2系統ある。怖いのは2つ目
Sky株式会社の告知は、想定される影響を「当該製品がインストールされたWindows端末にログイン可能な攻撃者によって」という前提のもとで、次の2つに整理しています。
- SYSTEM権限で任意のコードが実行される可能性がある
- UDPパケットを受信可能かつ当該製品がインストールされた他のWindows端末上で任意のコードが実行される可能性がある
JVNの記載では、1に該当するのがCVE-2026-66109とCVE-2026-69665、2に該当するのがCVE-2026-68062・CVE-2026-68959・CVE-2026-68960です。
1だけを読むと「そもそも端末にログインできる相手なら、何をされてもおかしくない」と感じるかもしれません。しかしSYSTEM権限が取られるかどうかは、被害の広がり方を決定的に変えます。一般ユーザー権限のままなら、その利用者が触れるファイルとアプリの範囲で止まります。SYSTEM権限は、その端末で最も強い権限です。資産管理エージェント自身の設定、収集したログ、通信先といった、一般ユーザーでは触れない領域まで操作の対象に入ってきます。実際にどこまで到達できるかは、OSの保護機能、製品構成、他の対策の有無によって変わりますが、被害の上限が大きく上がることは確かです。
より重いのは2です。ある1台にログインできる状態を作られた攻撃者が、そこから細工したUDPパケットを送信することで、同じ製品が入っている別の端末上でコードが実行されうる、という意味だからです。任意のUDPパケットを投げれば成立する、という話ではありません。CVSSのベクタでも、この3件は攻撃前提条件あり（CVSS 4.0のAT:P、CVSS 3.0のAC:H）かつ低い権限が必要（PR:L）と評価されています。
それでも経営上の意味は大きい。資産管理ツールは全端末に配布されているのが普通だからです。つまり、製品の適用範囲がそのまま横展開の経路の広さになります。
対象プログラムとして告知が挙げているのは、マスターサーバー（グローバルマスターサーバー、セカンダリサーバーを含む）、管理機、端末機、スタンドアロン端末機で、いずれもWindows OSが対象です。サーバーから末端の1台まで、すべてが範囲に入ります。
「2024年の修正が不十分だった」が突きつけているもの
CVE-2024-41726は、2024年7月29日にJVN#84326763として公表されたパストラバーサルの脆弱性です。当時のCVSS 3.0は8.5で、対象はVer.15.200.13iからVer.19.210.04eまででした。当時この製品を使っていて案内にしたがって対応した企業は、アップデートまたはパッチ適用を行い、その事実を管理台帳や報告書に残しているはずです。
今回、その修正が不十分だったことを原因とする脆弱性が2件出ました。当時の対応が誤っていたわけではありません。指示されたとおりに更新したのであれば、作業としては正しい。にもかかわらず、結果として穴は残っていたことになります。
ここから引き出すべき教訓は、「ベンダーを疑え」ではありません。自社の脆弱性台帳における「対応済み」という記録が、何を証明していて何を証明していないのかを、正確に理解しておくことです。台帳の「対応済み」が証明しているのは、「そのとき指示されたバージョンに更新した」という作業の完了だけです。「その脆弱性が、その後も塞がったままである」ことまでは証明していません。
この差は意識されにくい部分です。監査や取引先のチェックシートに「対応済み」と書いて提出し、そこで話が終わってしまいます。しかし修正の不備、リグレッション、設定の巻き戻り、機器の入れ替えによる旧バージョンの復活といった理由で、いったん塞いだ穴が再び開くことは現実に起こります。
今日やること：バージョン判定の手順
Sky株式会社の告知にある対象バージョンは次のとおりです。番号は前掲の表のCVEに対応します。
SKYSEA Client View
- (1) CVE-2026-66109：Ver.21.210.01f以前
- (2) CVE-2026-68062：Ver.19.300.09h〜Ver.21.210.01f
- (3) CVE-2026-68959：Ver.19.300.09h〜Ver.21.210.01f
- (4) CVE-2026-68960：Ver.21.210.01f以前
- (5) CVE-2026-69665：Ver.21.300.12g以前
SKYMEC IT Manager
- (1) CVE-2026-66109：Ver.2023.225.03a、Ver.2024.005.10a
- (2) CVE-2026-68062：Ver.2024.005.10a
- (3) CVE-2026-68959：Ver.2024.005.10a
- (4) CVE-2026-68960：Ver.2023.225.03a、Ver.2024.005.10a
- (5) CVE-2026-69665：Ver.2025.205.08a以前
見落としやすいのは(5)です。他の4件が21.210.01f以前で切れているのに対し、(5)だけはVer.21.300.12g以前まで範囲が伸びています。「21.3系に上げたから全部対象外」と早合点すると、(5)を取りこぼします。
対策は次のとおり公表されています。
横にスクロールして確認できます
| 利用形態 | 対応 |
|---|---|
| SKYSEA Client View | 保守契約ユーザー用WebサイトでVer.21.310.01a以降へアップデート、または修正モジュールを適用 |
| SKYSEA Client View M1 Cloud Edition | 2026年8月24日より修正モジュールの配信を開始。端末機への適用は順次自動的に実施される |
| SKYMEC IT Manager | 保守契約ユーザー用Webサイトから修正モジュールを取得して適用 |
見落とされがちな3つの実務論点
保守契約ユーザー用サイトに、今すぐログインできるか
修正モジュールもFAQも、保守契約ユーザー用Webサイトに置かれており、ログインにはユーザーIDとパスワードが必要です。ここは詰まりうる箇所です。導入時に情シス担当者個人がアカウントを作り、その担当者が異動・退職して誰も入れなくなっている、という状態になっていないか確認してください。
脆弱性対応の速度は、技術力ではなく「ベンダーの窓口に今すぐ到達できるか」で決まる場面が少なくありません。今回の対応を機に、主要な保守契約サイトのアカウント保有者を洗い出しておくことをおすすめします。少なくとも2名が入れる状態にし、退職時の引き継ぎ項目に加えておくのが実務的です。
クラウド版でも「自動だから何もしなくていい」ではない
M1 Cloud Editionは修正モジュールの配信が自動で行われますが、告知の表現は「端末機への適用は順次、自動的に実施されます」です。順次であるということは、適用完了までに時間差があるということです。
管理者としてやるべきなのは、配信を待つことではなく、全端末の適用が実際に完了したことを一定期間後に確認することです。長期間電源が入っていない端末、修理から戻ってきた端末、貸出用の予備機は、自動配信の対象になっていても実際には受け取れていません。「自動」は「全台完了」を意味しません。
スタンドアロン端末機が台帳から抜けている
対象プログラムにはスタンドアロン端末機が含まれています。ネットワークから切り離して運用している製造ラインの端末、外部に持ち出す検査用PC、特定業務専用の閉じた端末などが、これに該当することがあります。
こうした端末は、日常の配布対象からも管理画面の一覧からも外れうるため、脆弱性対応のたびに確認が必要な対象です。今回の対応では、管理画面に出てくる台数と、資産台帳上の保有台数の差分を必ず突き合わせてください。差分にはいろいろな理由があります。廃棄済み、重複登録、非Windows端末、そもそも製品を入れていない端末。ただし、説明のつかない差分のなかに未対応端末が混じります。台数の一致ではなく、1台ずつ理由がつく状態まで持っていってください。
「対応済み」を再定義する4項目
今回の件を、単発のパッチ適用で終わらせないための記録の型を示します。脆弱性への対応を台帳に残すとき、次の4つを分けて書きます。
横にスクロールして確認できます
| 記録項目 | 書くこと | なぜ必要か |
|---|---|---|
| 作業内容 | どのバージョンへ、いつ、何台更新したか | 従来の「対応済み」に相当する部分 |
| 確認方法 | 完了をどうやって確かめたか（管理画面の表示か、実機のバージョン確認か） | 「配った」と「入った」を区別する |
| 母数の根拠 | 対象台数をどの台帳から取ったか、除外した端末とその理由 | 見えていない端末を可視化する |
| 再確認の期限 | いつ、誰が、もう一度この項目を見るか | 修正不備・巻き戻りを拾うための手段の一つ |
4番目が今回の主題です。修正が不十分だったことは、当事者の企業には検知しようがありません。検知できるのは、ベンダーが後日追加の情報を出したときに、それを自社の過去の対応履歴と突き合わせられる状態にしてあるかどうかです。CVE番号に加えて、当時の製品名、対象だったバージョン、適用日と適用内容を台帳に残していれば、今回のように「CVE-2024-41726の修正が不十分」という情報が出たときに、自社が当時の対象だったかどうかを短時間で照合できます。CVE番号だけ、あるいは「対応済み」の一語だけでは、この照合は成立しません。
ベンダー・情シス担当者への確認質問
自社に技術担当がいない場合、次の質問をそのまま投げてください。回答の歯切れの良さが、そのまま運用の実態を表します。
- 当社のSKYSEA Client View（またはSKYMEC IT Manager）は、現在どのバージョンですか。管理画面のどこで確認した数字ですか。
- 今回公表された5件のうち、当社が該当するのはどれですか。とくにCVE-2026-69665は対象範囲が他と違いますが、確認しましたか。
- 修正モジュールの適用対象台数は何台ですか。その母数はどの台帳から取りましたか。
- スタンドアロン端末機、長期未起動端末、予備機を含めて、適用が完了したことをどう確認しますか。完了確認はいつ行いますか。
- 保守契約ユーザー用Webサイトに、当社側で今すぐログインできる担当者は何名いますか。
- 2024年7月のCVE-2024-41726のとき、当社はいつ、どのバージョンへ更新しましたか。その記録は残っていますか。
6番目は、今回の「修正が不十分だった」という文脈でこそ効く質問です。記録が出てこないなら、脆弱性管理の運用自体が形になっていないと判断してよいでしょう。
セキュリティ製品ほど、権限と配布範囲を確認する
資産管理ツール、EDR、バックアップエージェント、リモート運用ツールといった製品には、共通しやすい構造があります。多くの端末に配布され、業務アプリより高い権限で動き、管理サーバーと通信する。これは製品として不自然な設計ではありません。それらの機能を果たすために、その権限とその配布範囲が必要になるからです。具体的にどこまでの権限で、どの範囲に入っているかは製品と設定によって異なるため、自社の構成で確認してください。
同時に、この種の構造では、1つの脆弱性で影響を検討すべき対象が配布した端末の数だけ生じます。特定の部署だけが使うアプリケーションであれば、まず確認する範囲をそこに絞れます。全端末へ配布している製品では、その絞り込みが最初から使えません。配布と適用そのものは集中管理や自動配信で一括して進められますが、未起動端末、修理返却品、スタンドアロン端末といった例外の処理は、台数が増えるほど積み上がります。
だからこそ、この種の製品については、導入時に機能と価格だけで比べるのでは足りません。脆弱性が出たときにベンダーがどう情報を出し、どの経路で修正を配り、どのくらいの速さで適用できるのか。その運用の実力を、導入前に確認しておく必要があります。今回のSky株式会社の対応は、告知の当日に修正モジュールとFAQを提供し、影響範囲とスコアを明示するという点で、参照できる標準的な形になっています。自社が使っている他の常駐型製品が、同じ水準の告知を出せるかどうかを、この機会に見比べてみてください。
GXOに相談できること
対象バージョンの判定と適用は、多くの場合、社内または導入ベンダーで完結します。GXOに相談する価値があるのは、その先の運用です。
- 常駐型製品（資産管理・EDR・バックアップ・リモート運用）の棚卸しと、権限・配布範囲の整理
- CVE番号を軸にした脆弱性台帳の作り直しと、再確認期限の設計
- 保守契約サイトのアカウント管理を含む、ベンダー窓口への到達性の点検
- 月次で脆弱性情報を自社の資産と突き合わせる運用の代行
FAQ
修正モジュールを当てれば、CVE-2024-41726も完全に直りますか
今回提供されている修正モジュールは、公表された5件（CVE-2026-66109、CVE-2026-68062、CVE-2026-68959、CVE-2026-68960、CVE-2026-69665）への対策として案内されているものです。CVE-2026-68062とCVE-2026-68959はCVE-2024-41726への修正が不十分だったことに起因すると報告されているため、今回の適用はその不足部分を含む対処にあたります。適用範囲の詳細は、保守契約ユーザー用Webサイトで提供されているFAQで確認してください。
社内ネットワークは外部から遮断しているので急がなくてよいですか
推奨しません。今回の影響は「当該製品がインストールされたWindows端末にログイン可能な攻撃者」を前提にしています。外部との遮断は、その前提が成立する経路のうちの1つを塞ぐだけです。フィッシングで社内の1台が取られた場合、持ち込み端末が接続された場合、内部関係者が関与する場合には、遮断は機能しません。また、UDPで他端末へ波及しうるという性質は、外部との遮断では止まりません。起点が社内にある以上、その先の広がりは社内ネットワークの中で起きます。
CVSSのスコアが低いものは後回しでよいですか
今回については、5件がまとめて公表され、製品・利用形態ごとの案内にしたがって対処する形なので、順位づけの実益がありません。加えて本文で述べたとおり、CVSS 4.0と3.0で順位が逆転しています。スコアは影響の大きさを示す目安であって、自社にとっての緊急度ではありません。緊急度は「自社に該当製品があるか」「その端末に到達されうるか」「悪用が確認されているか」で判断してください。
当社はSKYSEAを使っていません。関係ありますか
製品としては関係ありません。ただし本記事の中心的な論点は製品固有ではありません。「全端末に高権限で常駐する製品を持っているか」「脆弱性台帳の対応済みという記録が何を証明しているか」「保守契約サイトに今すぐ入れるか」は、どの製品を使っていても同じように問えます。
関連記事・サービス
参考情報
- JVN#33423625 SKYSEA Client ViewおよびSKYMEC IT Managerにおける複数の脆弱性（JPCERT/CC・IPA、2026年8月24日公開、2026年8月26日確認、一次情報）
- JVN#84326763 SKYSEA Client Viewにおける複数の脆弱性（JPCERT/CC・IPA、2024年7月29日公開・2026年8月24日更新、2026年8月26日確認、一次情報）
- 【重要】SKYSEA Client ViewおよびSKYMEC IT Managerにおける複数の脆弱性（Sky株式会社、2026年8月24日、2026年8月26日確認、一次情報）
ここに書いたのは、JVNとSky株式会社の公表内容を読んで、経営側が何を確認し何を決めるべきかを整理した内容です。自社のどの端末が該当するか、修正モジュールを当てて業務システムが問題なく動くか、といった個別の判定はできません。バージョン判定と適用手順については、保守契約ユーザー用Webサイトに掲載されている案内が唯一の正本です。適用前に必ずそちらを開いてください。
