サイバーセキュリティ企業のFoxIOは、Webサーバー「GoAhead」におけるトランスポート層セキュリティ（TLS）プロトコルの処理方法に3つの脆弱性を発見しました。EmbedThis社が開発するこの軽量サーバーは、ネットワーク機器、プリンター、産業システムの管理インターフェースに使用されており、その影響範囲は非常に広大です。モノのインターネット（IoT）、運用技術（OT）、ファイアウォール、さらには軍事部門を含む数億台のデバイスに存在しています。
発見された脆弱性の詳細
脆弱性の深刻度とメカニズムは、デバイスに統合されたライブラリによって異なります。
- 証明書失効の回避（CVE-2026-115881）：CVSS深刻度スコア9.1。OpenSSLライブラリを使用するバージョン3.4.5から6.1.0に影響します。問題は、サーバーが証明書失効リスト（CRL）を読み取るものの、ライブラリに対して実際に検証を要求しない点にあり、盗難されたものなど、失効した証明書が検知されずに使用される可能性があります。
- 暗号化の弱体化：Mbed TLSライブラリを使用するバージョンに影響します。この脆弱性は一部のTLS 1.2接続の暗号化を弱体化させ、攻撃者が記録されたセッションを後で復号（オフライン復号）することを可能にする恐れがあります。
- 証明書チェーン長の制限回避（CVE-2026-115884）：CVSS深刻度スコア7.4。LibreSSLを使用するバージョンを標的としており、任意の発行者からの証明書を受け入れるサーバーにおいて、攻撃者が証明書チェーンの最大長制限を回避することを可能にします。
ユーザーと企業にとっての重要性
真の危険性は、ソフトウェア開発者とデバイスメーカーの間の「アップデートのギャップ」にあります。サーバー開発者（EmbedThis）はOpenSSLおよびMbed TLSの問題に対処するためにバージョン6.1.1をリリースしましたが、これは影響を受けるデバイスが自動的に安全になることを意味しません。デバイスメーカーは、このアップデートを自社のファームウェアに統合し、エンドユーザーにアップデートを配信する必要があります。
FoxIOは、Lockheed Martin、Boeing、Siemens、Honeywell、GE、Oracle、HP、Canon、Comcast、D-Linkなどの大手企業がGoAheadサーバーを採用していると指摘していますが、各社の現行製品が脆弱な設定を使用しているかどうかについては明言していません。
利用可能な保護手段
FoxIOは、デバイスで使用されているライブラリの種類に応じて、以下の技術的対策を推奨しています。
- Mbed TLSユーザー向け：有限体DHE暗号スイートを無効にするか、バックエンドとしてOpenSSLライブラリへの移行を検討してください。
- LibreSSLユーザー向け：信頼できるCAパッケージを使用して発行者の検証を有効にするか、LibreSSL 4.xまたはOpenSSLへのアップグレードを推奨します。