事故・脆弱性9分で読める

CVE-2026-111793 — Openwave Webtop Media Transcoderのファイル種別制限の不備と対応策（1.1.22.0で修正・攻撃観測・KEV掲載済み）

CVE-2026-111793は、Openwave Webtop Media Transcoder 1.1.22.0より前で、管理者が定めたファイル種別の制限が効かない脆弱性。JVNによると開発者が攻撃を観測。KEVに11月10日追加。

中CVSS4.3#CVE-2026-111793 #Openwave Messaging #Webtop Media Transcoder #メール基盤 #KEV #JVN

公開日: 2026-11-11
更新日: 2026-11-11
最終確認: 2026-11-11

Openwave Messagingのメール基盤で使われるWebtop Media Transcoder（Webメールの添付文書を変換する構成要素）の、ファイル種別の制限が効かない脆弱性の解説です。点数は低いものの攻撃観測があるため、Openwave Messagingを使うメール基盤の運用者向けに、確認と対応を短くまとめます。

速報サマリー — ADVISORY / KEV

CVE: CVE-2026-111793（ベンダー勧告 CAN-2026-2032674、JVNVU#93403064）
重大度: ベンダー・CVE：CVSS v3.1 4.3（Medium）。JVN：「緊急」と表示
種別: 異なる領域間での不適切なリソースの移動（CWE-669）。管理者が定めたファイル種別の制限が効かない
対象: Webtop Media Transcoder 1.1.22.0より前（CVE記録はLinuxと記載）
修正: 1.1.22.0。ベンダーは最新のMedia Server 2.0のサポート対象リリースへの更新を案内
影響の記述: ベンダー・CVE：想定外の文書を変換できる（可用性への低い影響）。JVN：機微な情報を取得される可能性
日付: 出所で食い違う（下の表を参照）
悪用状況: JVN：開発者が攻撃を観測。CISA KEVに11月10日追加（対応期限 11月24日）

4.3

CVSS v3.1（ベンダー）

攻撃観測

JVNの記載

1.1.22.0

修正

11月24日

KEVの対応期限

どんな脆弱性か

ベンダーの勧告とCVEの記録は、Webtop Media Transcoderが、管理者の定めたファイル種別の制限を守らないと説明しています。認証済みの利用者が、Webメールの画面を介さない方法を取ると、想定外の種類の文書を処理・変換できる可能性があります。具体的な手順は、勧告にも書かれておらず、当サイトも記載しません。

影響の書き方は出所で異なります。当サイトはどちらかに寄せません。

出所	書かれている内容
ベンダーの勧告・CVE記録	想定外の文書を変換できる。勧告はCVSS v3.1で4.3、ベクターはCVEの記録（機密性・完全性の影響なし、可用性は低）
JVN	ログインできる攻撃者が細工したファイルをアップロードすると、機微な情報を取得される可能性。「緊急」と表示。開発者が攻撃を観測
CISA KEV	認証済みの利用者が、想定外の文書種別を処理・変換できる可能性（ベンダーと同じ書き方）

日付の食い違い

出所	日付
ベンダーの勧告	開示日 2026年10月7日。修正版1.1.22.0は2021年12月6日にリリース、と記載
CVE記録	公開 2026年10月16日
JVN	公開・最終更新 2026年11月9日
CISA KEV	追加 2026年11月10日（期限11月24日）

勧告の日付（2026年）と、修正版のリリース日（2021年）の間に4年以上の開きがあります。当サイトはこの理由を公開情報から確認できておらず、どれかの日付に寄せて書くことはしません。

影響範囲

項目	内容
製品	Openwave Messaging Webtop Media Transcoder
影響を受ける版	1.1.22.0より前
修正	1.1.22.0。ベンダーは最新のMedia Server 2.0のサポート対象リリースへの更新を案内
回避策	勧告に記載なし
手順・入手	JVNは開発者への問い合わせを案内

自分が対象か確かめる方法

Webtop Media Transcoderの版を確認する

メール基盤の構成情報、またはベンダーの保守窓口で、稼働中の版を確認します。1.1.22.0より前なら対象です。本番・検証・予備系が分かれている場合は、1つずつ確認します（資産棚卸しチェックリスト）。

変換機能へ到達できる経路を洗い出す

Webメールの画面だけでなく、直接変換機能へ到達できる経路（社内・加入者向けのネットワーク、APIなど）がないかを確認します。

今日やること

版を確認し、修正の入手をベンダーに問い合わせる

対象版なら、ベンダーの案内に従い、1.1.22.0以上（最新のMedia Server 2.0のサポート対象リリース）へ更新します。入手方法と、更新時の注意はベンダーに確認してください。KEVの対応期限は11月24日です。

更新までの間、到達できる範囲を絞る

勧告に回避策の記載はありません。当サイトの補足として、変換機能へ到達できる送信元を、Webメールの基盤に必要な範囲に絞ります。更新の代わりにはなりません。

想定外の変換・アップロードの痕跡を確認する

変換の処理ログで、管理者が許可していない種類の文書の変換、Webメールの画面を経由しない呼び出し、異常に多い処理がないかを確認します。JVNは情報の取得に触れているため、更新で終わりにせず、確認した範囲と期間を記録に残してください。進め方は脆弱性対応の実務手順にまとめています。

悪用状況

JVNは、開発者が本脆弱性を悪用した攻撃を確認していると記載しています。ベンダーの勧告には、悪用についての記載がありません。
CISAは2026年11月10日にKEVへ追加し、対応期限を11月24日としました（KEVの版 2026.11.10）。ランサムウェアでの利用は「Unknown（不明）」、フォレンジック確認は「No」です。
CVEの記録に、CISAの評価（悪用あり・自動化不可・技術的影響は部分的）が追記されています。
攻撃の規模・手口・被害についての公開情報は、確認できませんでした。

出典

Openwave Messaging (Ireland) Ltd — Public Security Advisory CAN-2026-2032674（対象版・修正版・CVSS 4.3・開示日）
JVN — JVNVU#93403064（2026年11月9日公開。攻撃観測の記載）
CVE.org — CVE-2026-111793（2026年10月16日公開。CISAの追記を含む）
CISA KEV — Known Exploited Vulnerabilities Catalog（11月10日追加・期限11月24日）

最終確認：2026年11月11日。

よくある質問

QCVE-2026-111793とは何ですか？

Openwave MessagingのWebtop Media Transcoder（勧告の記載では、Webメールで文書を変換する機能）が、管理者の定めたファイル種別の制限を守らない脆弱性（CWE-669）です。ベンダーの勧告とCVEの記録は、認証済みの利用者がWebメールの画面を介さずに、想定外の種類の文書を処理・変換できる可能性があると説明しています。

Qどの版が対象で、修正はどれですか？

ベンダーの勧告とJVNでは、1.1.22.0より前の版が対象で、修正は1.1.22.0です。ベンダーの勧告は、最新のMedia Server 2.0のサポート対象リリースへ更新するよう案内しています。回避策の記載は勧告にありません。具体的な手順や入手方法について、JVNは開発者への問い合わせを案内しています。

Q深刻度はどのくらいですか？

出所で書き方が違います。ベンダーの勧告はCVSS v3.1で4.3（Medium）で、ベクター（AV:N/AC:L/PR:L/UI:N/C:N/I:N/A:L）はCVEの記録に載っています。CVSS上は可用性への低い影響のみです。一方、JVNは「緊急」と表示し、ログインできる攻撃者が細工したファイルをアップロードすると機微な情報を取得される可能性があると記載しています。どちらが実態に近いかは、公開情報から確定できません。

Qすでに悪用されていますか？

JVNは、開発者が本脆弱性を悪用した攻撃を確認していると記載しています。CISAも11月10日にKEVへ追加しました（対応期限11月24日）。ベンダーの勧告には悪用の記載がありません。攻撃の規模や手口は、公開情報から確認できませんでした。

Q公開日はいつですか？

出所で日付が異なり、当サイトはどれかに寄せません。ベンダーの勧告は開示日を2026年10月7日、CVEの記録は公開を10月16日、JVNは公開を11月9日、KEVは追加を11月10日としています。また、勧告は修正版1.1.22.0を2021年12月6日にリリースしたと書いており、勧告の日付と修正版の日付が大きく離れています。日付の食い違いの理由は公開情報からは分かりません。