古い通信プロトコルTelnetを使う機器に致命的な欠陥が見つかり、認証不要で遠隔からシステムを完全掌握される恐れが浮上した。産業制御や政府系システムへの影響が懸念される。
GNU Inetutilsのtelnetdデーモンに深刻なバッファオーバーフロー脆弱性CVE-2026-32746が発見された。LINEMODEのSLC交渉処理に不備があり、接続初期のハンドシェイク中に細工されたデータを送ることで任意コード実行が可能となる。認証前に攻撃が成立するため資格情報は不要で、しかもtelnetdは通常root権限で動作するため、侵害されれば完全なシステム掌握に至る。パッチ公開は2026年4月1日予定だが、それまでの間はサービス停止やポート23の制限、非root実行などの対策が求められる。特にICSやSCADAなど旧式環境ではTelnet依存が残っており、攻撃はログに残りにくいためネットワーク監視が重要となる。
https://t.co/Lbe959Wbno