ディー・オー・エスのIT資産管理ツール「SS1」「SS1クラウド」と、そのODM製品であるロココの「rocoeyes」のエージェントに、2件の脆弱性が2026年11月9日に公表されました。CVE-2026-113437は認証なしで任意のファイルを削除されるおそれがあるパストラバーサルで、SS1では13.0系から17.1系までの10系統に別々の修正版が用意されています。この記事では、2件の条件、系統ごとの修正版の読み方、全端末のエージェント版を集めて更新の要否を判定するスクリプト、更新までの通信制限と点検までを実装者の目線で整理しました。記載内容は2026年11月10日時点の公開情報にもとづきます。
まとめ：SS1は系統別の修正版へのエージェント更新と旧系統の洗い出しが先決
CVE-2026-113437はCVSS v3.0で5.3、v4.0で6.9の評価です。数値は中程度ですが、ネットワーク越しに認証も操作もなしで成立し、SS1のエージェントは社内のほぼ全PCに入っています。台数の多さを考えると、優先度を下げてよい案件ではありません。
対処は修正版への更新だけで、公告に回避策の記載はありません。作業は、全端末のエージェント版を集める、系統ごとの修正版と突き合わせる、未更新の端末を更新する、の順に進めます。
注意したいのは、公告の修正版一覧に載っていない版の端末です。12系以前と、最新のver.18は掲載がありません。前者は掲載された系統への移行を前提に計画を組み、後者は販売元へ確認を取ってください。
CVE-2026-113437と109582の中身と認証なしでファイル削除に至る条件
SS1は、PCの資産情報や操作ログを集めるエージェントを各端末に常駐させる製品です。公式のシステム構成では、SS1サーバー、収集サーバー、DMZに置くインターネット通信用サーバー、管理対象クライアントで組み立てる形が示されています。今回の2件はいずれも、この管理対象クライアント側のエージェントの欠陥です。IT資産管理の仕組みそのものはIT資産管理の目的とツールの機能で解説しています。
| CVE | CWE | 攻撃元 | CVSS v3.0 | CVSS v4.0 | 影響 |
|---|---|---|---|---|---|
| CVE-2026-113437 | CWE-22 | ネットワーク | 5.3 | 6.9 | 任意ファイルの削除 |
| CVE-2026-109582 | CWE-922 | ローカル | 4.0 | 5.1 | 機微情報の取得 |
数値はJVN#76179675の掲載値です。ベクトルの読み方はCVSSv3のスコアの目安と計算式、CVEとCWEの関係はCVEとCWEの違いにまとめています。
ネットワーク越しに任意ファイルを消せるCVE-2026-113437の前提
CVE-2026-113437はCWE-22（パストラバーサル）に分類されています。ベクトルはAV:N／AC:L／PR:N／UI:Nで、完全性への影響だけがLです。ファイルの中身を読まれる評価にはなっていません。
どの通信、どの機能で発動するかは公表されていません。エージェントはSYSTEM相当の権限で動くことが多いため、削除できるファイルの範囲も読み切れないのが現状です。OSやほかの業務アプリの設定ファイルを消されれば、端末が起動しない、ログが残らないといった形で業務に響きます。
ローカルで機微情報を読まれるCVE-2026-109582と影響の範囲
CVE-2026-109582はCWE-922（重要な情報のセキュアでない格納）で、対象はオンプレ版のSS1だけです。攻撃元はローカルで、端末にログインできる利用者が、製品の使う機微な情報を取得できる可能性があります。
何の情報が読めるのかは、JVNにもCVEレコードにも書かれていません。共用PCや、退職予定者が使う端末のように、ログインできる人を信用しきれない環境ほど影響が大きくなります。更新後に接続情報などの再設定が要るかどうかは、販売元に確認しておくと安心です。
SS1・SS1クラウド・rocoeyesの影響版と系統別の修正版一覧の読み方
影響を受ける版は、ディー・オー・エスの公告とJVNで一致しています。製品ごとに整理すると次のとおりです。SS1の影響版のセルは、エージェント／メディアの順に記載しています。
| 製品 | 影響を受ける版 | 対象CVE | 修正版 |
|---|---|---|---|
| SS1 | 17.0.0.50以前／17.0.0e以前 | 113437・109582 | 系統別（下表） |
| SS1クラウド | エージェント3.2.0以前 | 113437 | 3.1系は3.1.1a、3.2系は3.2.0a |
| rocoeyes | エージェント3.1.1以前 | 113437 | 3.1.1a |
CVE-2026-109582の対象はSS1だけです。SS1クラウドとrocoeyesは113437の1件になります。
SS1オンプレ版は13.0系から17.1系まで10系統に修正版が出た範囲
JVNの対策欄には、SS1の修正版が系統ごとに10個並んでいます。今使っている系統の修正版を当てればよく、17系へ上げる必要はありません。
| 系統 | 修正版（エージェント） | メディア |
|---|---|---|
| 17.1系 | 17.1.0.10 | 17.1.0a |
| 17.0系 | 17.0.0.60 | 17.0.0f |
| 16.1系 | 16.1.0.100 | 16.1.0j |
| 16.0系 | 16.0.0.60 | 16.0.0f |
| 15.1系 | 15.1.0.70 | 15.1.0g |
| 15.0系 | 15.0.0.80 | 15.0.0h |
| 14.1系 | 14.1.0.90 | 14.1.0i |
| 14.0系 | 14.0.0.90 | 14.0.0i |
| 13.1系 | 13.1.0.100 | 13.1.0j |
| 13.0系 | 13.0.0.90 | 13.0.0i |
適用方法の詳細は、保守契約ユーザー向けサイト「CLUB SS1」に置かれています。公開ページには手順がないため、本記事では更新の作業手順そのものは確認できていません。
SS1クラウドとrocoeyesは管理者サイトでエージェントを上げる手順
SS1クラウドは、管理者サイトで対応版へ更新するよう案内されています。ロココの公告も同じく、rocoeyesの管理者サイトで修正版の適用方法を確かめるよう求めています。
サーバー側はベンダーが運用していても、エージェントは利用企業の端末に入っています。クラウド版だから自動で直っていると考えず、管理画面で全端末のエージェント版を確かめましょう。3.1系の端末が残っていれば、3.2.0aではなく3.1.1aが対象です。
ver.18と12系以前が公告に載っていない場合の影響範囲と更新の判断
公式サイトでは最新版をSS1 ver.18として紹介していますが、公告の影響範囲にも修正版一覧にも18系は出てきません。影響範囲の上限が17.0.0.50なので対象外と読めますが、公告に明記されたわけではないため、販売元の回答を記録に残します。
12系以前は事情が逆です。影響範囲は「17.0.0.50以前」で下限がなく、修正版は13.0系からしか載っていません。12系以前の端末は直す手段が公告上は見当たらないので、13.0系以降の掲載系統への更新を前提に計画を立ててください。
端末のエージェント版を集めて修正版の要否を判定するスクリプト
SS1の管理画面でもエージェント版は見られますが、台帳に載っていない端末や、通信が止まって情報が古い端末は漏れます。端末側から版を取り、管理画面の一覧と突き合わせると抜けが減ります。
PowerShellでSS1エージェントの版と待ち受けポートを取得する手順
次のコマンドは読み取りのみです。Windows端末で管理者権限のPowerShellから実行し、結果を共有フォルダのCSVへ追記します。
$keys = 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\*',
'HKLM:\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall\*'
$apps = Get-ItemProperty -Path $keys -ErrorAction SilentlyContinue |
Where-Object { $_.DisplayName -match 'SS1|rocoeyes' }
foreach ($a in $apps) {
[pscustomobject]@{
host = $env:COMPUTERNAME
name = $a.DisplayName
version = $a.DisplayVersion
path = $a.InstallLocation
} | Export-Csv -Path '\\fileserver\audit\ss1_agents.csv' -Append -NoTypeInformation -Encoding UTF8
if ($a.InstallLocation) {
$ids = (Get-Process | Where-Object { $_.Path -like "$($a.InstallLocation)*" }).Id
Get-NetTCPConnection -State Listen -ErrorAction SilentlyContinue |
Where-Object { $ids -contains $_.OwningProcess } |
Select-Object LocalAddress, LocalPort, OwningProcess
}
}
後半は、エージェントの導入先から起動したプロセスが待ち受けているポートをGet-NetTCPConnectionで抜き出しています。SS1の通信ポートは公開ページに記載がないため、既定値を決め打ちせず実機で確かめる作りにしました。表示名の付け方は版によって違う可能性があるので、1台目でレジストリ上の表示名が取得できているかを先に確認してください。
Pythonで系統ごとの修正版と突き合わせ未更新端末を抽出する処理
集めたCSVを、JVNに載った系統別の修正版と照合します。Python標準ライブラリだけで動きます。
import csv
import sys
# JVN#76179675 の対策欄に掲載された SS1 の系統別修正版
FIXED = {
(17, 1): (17, 1, 0, 10), (17, 0): (17, 0, 0, 60),
(16, 1): (16, 1, 0, 100), (16, 0): (16, 0, 0, 60),
(15, 1): (15, 1, 0, 70), (15, 0): (15, 0, 0, 80),
(14, 1): (14, 1, 0, 90), (14, 0): (14, 0, 0, 90),
(13, 1): (13, 1, 0, 100), (13, 0): (13, 0, 0, 90),
}
def judge(version):
v = tuple(int(x) for x in version.strip().split("."))
if v[0] >= 18:
return "公告に掲載なし（販売元に確認）"
fix = FIXED.get(v[:2])
if fix is None:
return "修正版の掲載なし（13.0系以降へ更新）"
if v >= fix:
return "修正版以上"
return "要更新 -> " + ".".join(str(x) for x in fix)
with open(sys.argv[1], encoding="utf-8-sig", newline="") as f:
for row in csv.DictReader(f):
if "SS1" not in row["name"]:
continue # SS1クラウドとrocoeyesは番号体系が別のため管理画面で確認
try:
print(row["host"], row["version"], judge(row["version"]))
except ValueError:
print(row["host"], row["version"], "版の形式を確認")
17.1系で17.1.0.10未満の番号が出た場合、公告の影響範囲（17.0.0.50以前）からは外れますが、修正版にも届いていません。スクリプトは安全側に倒して「要更新」と出すので、その端末は販売元に扱いを確認します。SS1クラウドの3.x系とrocoeyesは番号の体系が違うため、判定から外して管理者サイトで見てください。
修正版の適用までの間に端末へ入れる通信制限とファイル削除の痕跡の確認
ここからは公告にない、筆者側の判断による暫定の手当てです。修正版の代わりにはならないので、更新の日程を決めたうえで、そこまでのつなぎとして入れます。
エージェントの待ち受けへ届く通信元をSS1サーバーに絞る設定
CVE-2026-113437の攻撃元はネットワークです。前の手順でエージェントが待ち受けているポートが見つかった場合、そこへ届く相手を、SS1サーバーと収集サーバーのIPアドレスに限ると攻撃できる相手が減ります。既存の許可ルールをGet-NetFirewallApplicationFilterで探し、Set-NetFirewallRuleで範囲を狭めます。
$dir = 'C:\Program Files (x86)\SS1' # 前の手順で得た InstallLocation に置き換える
$rules = Get-NetFirewallApplicationFilter |
Where-Object { $_.Program -like "$dir*" } | Get-NetFirewallRule
# 変更前の範囲を控える
$rules | Get-NetFirewallAddressFilter | Select-Object InstanceID, RemoteAddress
# SS1サーバーと収集サーバーだけに絞る（10.0.20.10 と 10.0.20.11 は自社の値へ）
$rules | Set-NetFirewallRule -RemoteAddress 10.0.20.10, 10.0.20.11
範囲を誤ると、資産情報やログの収集が止まります。数台で収集が続くことを確かめてから広げてください。待ち受けがなく、エージェントからサーバーへ接続しにいく方式の端末では、この手当ては効きません。
社外へ持ち出すPCは、インターネット通信用サーバー経由で管理される構成があります。自宅や出張先のネットワークでは同じセグメントに他人の機器がいるので、持ち出しPCを更新の先頭に置くのが安全です。
監査イベント4660と4663で追うファイル削除の記録と限界
ファイルの削除はWindowsのイベントID 4663と4660に残ります。ただし、ファイルシステムの監査を有効にし、対象フォルダに監査設定を入れていた場合に限られます。既定では記録されません。
$dir = 'C:\Program Files (x86)\SS1'
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4660, 4663 } -MaxEvents 500 -ErrorAction SilentlyContinue |
Where-Object { $_.Message -like "*$dir*" } |
Select-Object TimeCreated, Id, Message
Get-WinEventで、エージェントのプロセスが関わった削除の記録を拾います。何も出なくても、監査が無効なら判定できません。調査結果には「監査無効のため判定不能」と書き分けてください。JVNとベンダーは侵害の痕跡を公表しておらず、ここで異常が出なくても侵害がなかった証明にはなりません。
2年続けてパストラバーサルが出た資産管理エージェントの扱いの判断基準
SS1の脆弱性は今回が初めてではありません。前回の公表と並べると、更新を回す仕組みの方に手を入れるべき理由が見えてきます。
前回JVN#99577552の8件と今回の2件を並べて見える更新運用の穴
2025年8月27日のJVN#99577552では、SS1 Ver.16.0.0.10以前に8件が公表されました。CVSS v3で9.8の2件はアップロードファイルの検証不足で、SYSTEM権限でのOSコマンド実行につながるものでした。パストラバーサルもCVE-2025-54819とCVE-2025-58072の2件が含まれています。
今回のCVE-2026-113437も同じCWE-22です。前回の公表を受けて16.0.0.10より新しい版に上げた組織でも、17.0.0.50以前に止まっていれば今回の対象に入ります。1回の緊急更新で終わらせず、エージェントの版を定期的に棚卸しする運用が要る、というのが2年分の公表から読み取れることです。更新の回し方はパッチ管理の手順で扱っています。
当日中に更新する端末と次回の定期更新で足りる端末を利用環境で線引きする基準
社外へ持ち出すPC、共用PC、DMZのインターネット通信用サーバーと同じセグメントにある機器は、修正版を当日から順に当てます。前者2つはネットワーク越しの113437とローカルの109582の両方で狙われやすい位置にあるからです。
社内LANだけで使う個人専用PCは、通信制限を入れたうえで週内の更新で足ります。VPNの内側だから安全という判断は採りません。社内の1台が侵入されれば、横から届きます。
一方、12系以前が多数残っている組織で、13.0系以降への移行を今回の緊急作業に詰め込むのは無理があります。通信制限を先に入れ、移行は別の計画として日程を切る方が、更新の失敗で収集が止まる事故を避けられます。保守契約が切れて修正版を入手できない端末は、使い続けずに保守の再契約か製品の入れ替えを決めてください。入れ替えを検討する場合の要件の分け方はIT資産管理ツールの選び方にまとめています。
自社開発のファイル受信処理へ持ち帰るパス正規化と外部診断の範囲
パストラバーサルは、外部から受け取ったファイル名やパスを、正規化と許可範囲の確認を経ずに使うと起きます。自社開発のエージェントやAPIがファイルの保存や削除を受け付ける場合、ディレクトリトラバーサルの正規化後検証を入れているか点検しましょう。認可やレート制限の観点はAPI不正アクセス対策の実装手順が流用できます。
端末側のエージェントの棚卸しや、開いているポートと通信元の洗い出しを社内だけで回しきれないときは、外部の脆弱性診断・セキュリティ診断に範囲を切って依頼すると抜けが減ります。診断の種類と費用の見方は脆弱性診断の進め方で解説しました。
よくある質問
SS1の脆弱性対応で、確認が多くなる点をまとめました。
SS1 ver.18は今回の脆弱性の対象ですか？
ディー・オー・エスの公告とJVNに記載された影響範囲の上限は、エージェント17.0.0.50（メディア17.0.0e）です。18系は影響範囲にも修正版一覧にも登場しないため、範囲の外と読めます。ただし公告に「18系は対象外」と書かれているわけではありません。全台が18系であることを確かめたうえで、販売元に回答をもらって記録に残すと確実です。
SS1を17系へ上げないと修正できませんか？
17系へ上げる必要はありません。JVNの対策欄には13.0系から17.1系まで10系統の修正版が並んでおり、16.1系なら16.1.0.100、14.0系なら14.0.0.90のように、使っている系統の修正版を当てれば足ります。12系以前は修正版が掲載されていないので、掲載のある系統への更新を計画してください。
SS1クラウドは利用者側で何か作業が要りますか？
作業が要ります。SS1クラウドはサーバーを利用者が持たない形態ですが、影響を受けるのは各端末のエージェント3.2.0以前です。公告は管理者サイトを確認して対応版へ更新するよう案内しています。3.1系の端末は3.1.1a、3.2系の端末は3.2.0aが対象なので、管理画面で端末ごとの版を見て、更新が終わったかを確かめてください。
rocoeyesを使っている場合も対応が必要ですか？
必要です。rocoeyesはSS1のODM製品で、エージェント3.1.1以前がCVE-2026-113437の対象になっています。ロココの公告では、修正プログラムはリリース済みで、rocoeyesの管理者サイトで適用方法を確かめて更新するよう案内されています。修正版は3.1.1aです。CVE-2026-109582はrocoeyesの対象に入っていません。
すでに悪用されている脆弱性ですか？
2026年11月10日時点で、JVNとディー・オー・エス、ロココの公告に悪用の記載はありません。これは確認された悪用がまだ公表されていないという意味にとどまります。端末から個人情報を含むファイルが削除・流出したと分かった場合は、個人情報保護委員会への報告義務の対象になるかを早めに判断してください。
関連記事
- 脆弱性とは？種類・CVE/CVSSの仕組みと発見から修正までの実務を解説：公表から修正までの流れの基礎を確認できます。
- パッチ管理とは：KEVで優先度を決め、Patch Managerとapt・dnfで自動適用する手順：端末の更新を定期的に回す仕組みづくりを扱っています。
- ディレクトリトラバーサルとは？攻撃の仕組みと正規化後検証による実装対策を解説：今回のCWE-22を実装の側から理解できます。
- IT資産管理ツールの選び方：台帳・ライセンス・持ち出し統制の要件分解：製品の入れ替えを検討するときの要件整理です。
- 脆弱性診断とは？種類・費用相場・進め方と外注時の判断基準を解説：端末と通信経路の点検を外部へ依頼する際の進め方です。
