【セキュリティ対策｜実務向け】【緊急対応】LANSCOPEオンプレミス版の脆弱性(JVN86318557)への対策と影響範囲の解説

1. 導入：なぜこの脆弱性が危険なのか

2025年10月に公開された「LANSCOPE エンドポイントマネージャーオンプレミス版」の脆弱性（JVN#86318557 / CVE-2025-61932）は、CVSS v3の基本値が「9.8（緊急）」と非常に高いスコアを記録しています。これは、攻撃者がネットワーク経由で不正なパケットを送信するだけで、管理対象のサーバーや端末上で任意のコードを実行できる可能性を意味します。オンプレミス版の管理ツールはネットワークの全権を握る存在であるため、この脆弱性は組織の全IT資産を乗っ取られるリスクに直結します。

2. 基礎知識：送信元検証不備とは

「通信チャネルの送信元検証不備」とは、アプリケーションが受信したリクエストやデータが「信頼できる相手から送られてきたものか」を正しく確認していない状態を指します。
通常、管理サーバーは特定の管理エージェントからの通信のみを受け入れるべきですが、この脆弱性がある場合、誰が送ったかを確認せずにコマンドを実行してしまいます。結果として、攻撃者は正規の管理者を装うことなく、システム内部で悪意あるプログラムを動かすことが可能になります。

3. 実装/解決策：今すぐ実施すべき対策

本脆弱性の根本解決策は「アップデート」です。以下の手順で優先的に対応してください。
1. 対象バージョンの確認: 自社環境のLANSCOPEがVer.9.4.7.1以前であるか確認してください。
2. 緊急パッチの適用: 公式サイトから提供されている最新版へのアップデートを実施します。
3. ワークアラウンドの検討: すぐにアップデートが困難な場合、ネットワーク境界での制限（該当ポートへのアクセス制御）を検討してください。

4. サンプルプログラム：脆弱性スキャンの自動化（概念実証）

現場で複数の管理対象端末がアップデート済みかを確認する際、Python等を用いてバージョンを自動チェックするスクリプトの概念例です。

バージョンチェックのサンプルスクリプト ※実際の製品のAPI仕様に合わせて適宜変更してください


import requests
管理サーバーに接続してバージョンを取得する関数

def check_lanscope_version(server_url):

    try:

        # 管理サーバーのバージョン取得用エンドポイントへアクセス

        response = requests.get(f"{server_url}/api/version", timeout=5)

        if response.status_code == 200:

            version = response.json().get("version")

            # 脆弱性対象バージョン（9.4.7.1以下）か判定

            if version <= "9.4.7.1":
                print(f"警告: バージョン {version} は脆弱性の対象です。即時アップデートが必要です。")

            else:

                print(f"バージョン {version} は安全です。")

    except Exception as e:

        print(f"通信エラー: {e}")

実行 check_lanscope_version("http://your-lanscope-server.local")

5. 応用・注意点：現場での運用上の注意

クラウド版との混同に注意: 今回の脆弱性は「オンプレミス版」のみが対象です。クラウド版は影響を受けませんが、念のため公式サイトの最新情報を定期的に確認してください。
検知エージェントの更新: 管理サーバーだけでなく、各PCにインストールされている「クライアントプログラム（MR）」や「検知エージェント（DA）」の更新も必須です。サーバーだけ更新して安心せず、全クライアントへの適用状況を管理コンソールから必ず確認してください。
ログの監視: 既に攻撃の兆候がないか、過去のアクセスログを確認することも重要です。特に外部IPからの不審なパケットの形跡がないか調査してください。