NEC「WebSAM WinShare」細工したパケットでSYSTEM権限の実行が可能に

何が起きているか

事実（JVN、NEC）

• JPCERT/CCとIPAは2026年11月9日、JVN#89009783を公開し、日本電気株式会社（NEC）のWebSAM WinShareに3件の脆弱性があると公表した。NECも同日、セキュリティ情報NV26-006を掲載した。
• 3件の内容と、リモートPCが受ける影響は次のとおり（JVN、NEC）。
  • CVE-2026-113363：通信パケットの処理不備（CWE-749 危険なメソッドや機能の意図しない公開）。細工されたパケットを送られると、SYSTEM権限で任意のコマンドを実行される。
  • CVE-2026-113364：データ受信処理のヒープベースのバッファオーバーフロー（CWE-122）。細工されたパケットを送られると、SYSTEM権限で任意のコードを実行される。
  • CVE-2026-113362：インストール時のプログラムフォルダのアクセス権設定の不備（CWE-276）。一般ユーザー権限でログインしている攻撃者がSYSTEM権限を取得できる。
• 深刻度（JVN）は、CVE-2026-113363と113364がCVSS 4.0で9.3、CVSS 3.0で9.8（いずれも AV:N/AC:L/PR:N/UI:N、ネットワーク経由・認証不要・利用者の操作不要の評価）。CVE-2026-113362はCVSS 4.0で8.5、CVSS 3.0で7.8（ローカル・一般ユーザー権限が必要）。
• 報告者は川田柾浩氏、富士通株式会社のルスラン・サイフィエフ氏、デニス・ファウストヴ氏で、情報セキュリティ早期警戒パートナーシップを通じてIPAに届け出られた（JVN）。
• 2026年11月9日時点で、悪用の報告、攻撃コード（PoC）の公開、CISAのKEVへの登録は確認できない。WinShareが使う通信ポートや攻撃の詳しい条件も、JVNとNECは公表していない。

影響を受ける製品・バージョン

修正版・回避策

• 修正：NECが修正モジュールを提供している。入手にはNECサポートポータルへのログインが必要（NEC）。
  • WinShare Ver 7.6用
  • WinShare Ver 7.7用
  • どちらも7.5.0以下の版にも適用できる。
• JVNは「開発者が提供する情報をもとに、最新版へアップデートしてください」としている。回避策（ワークアラウンド）はJVN・NECとも示していない。

今すぐやること

1. 社内でWinShareを入れている端末（特に操作される側のリモートPC）と版番号を洗い出す。
2. 修正モジュールを入手し、リモートPCから順に適用する。
3. 適用が終わるまでは、ファイアウォールやWindowsの受信規則で、WinShareへの通信を管理端末からだけに制限する。インターネットや他拠点から直接届く構成になっていないかも確認する。
4. 一般ユーザーが日常的にログインする端末は、CVE-2026-113362（権限昇格）の対象にもなるため、同じ修正の対象に含める。

考察

• 狙われると「全端末のSYSTEM」になりうる: 影響を受けるのは操作される側のリモートPCで、細工したパケットを受け取るだけで成立すると説明されている。リモートPC側で通信を待ち受ける仕組みだと考えられ、認証不要と評価された2件が悪用されれば、社内ネットワークに入った攻撃者が1か所から多数の端末をSYSTEM権限で乗っ取れることになる。ランサムウェアの横展開に使われやすい種類の弱点だと考える。
• 詳細非公開でも猶予は短い: 攻撃の詳しい条件は公表されていないが、修正モジュールとの差分から攻撃方法を割り出されることはありうるので、悪用が報告される前に適用を終えたい。
• 修正の入手に手間がかかる: 修正モジュールはサポートポータルへのログインが必要で、保守契約の窓口が情報システム部門と別になっている組織では、配布までに時間がかかるおそれがある。適用までの通信制限を先に入れておくのが現実的だろう。

出典

• JVN#89009783: WebSAM WinShareにおける複数の脆弱性（2026年11月9日）
• NEC: NV26-006 WebSAM Winshareにおける複数の脆弱性（2026年11月9日）
• CVE-2026-113363（CVE.org）
• CVE-2026-113364（CVE.org）
• CVE-2026-113362（CVE.org）