SKYSEA Client View 脆弱性｜対象確認と段階更新の進め方

はじめに

2026 年 8 月 24 日、Ｓｋｙ株式会社から SKYSEA Client View および SKYMEC IT Manager における 5 件の脆弱性が公表されました。同日には JVN#33423625 としても公開されています。影響としては、SYSTEM 権限での任意コード実行や、UDP パケットが届く別の端末上での任意コード実行が挙げられています。

見落としやすいのが対象範囲です。公式に示された対象プログラムは端末機だけでなく、マスターサーバー、グローバルマスターサーバー、セカンダリサーバー、管理機、スタンドアロン端末機まで含まれます。クライアント PC の一斉更新だけを計画すると、更新漏れが残る構成になります。

結論として、まず自環境の製品、利用形態、バージョン、役割を棚卸しし、CVE ごとに異なる対象バージョンと突き合わせる作業が起点になります。対策は Ver.21.310.01a 以降へのアップデートまたは修正モジュールの適用ですが、利用形態によって適用方法が異なります。一斉配信で完了とせず、代表環境での先行確認と未適用端末の回収まで含めた運用にすることをおすすめします。

SKYSEA Client View の 5 件の脆弱性と影響

5 件はいずれも、当該製品がインストールされた Windows 端末にログイン可能な攻撃者を前提としています。インターネットから認証なしで直接攻撃されるものとしては公表されていません。

参考: JVN#33423625
「当該製品がインストールされたWindows端末にログイン可能な攻撃者」
https://jvn.jp/jp/JVN33423625/

5 件の CVE と対象バージョンの一覧

各 CVE の分類、前提条件、想定される影響、対象バージョンを整理します。

CVE-ID	脆弱性の種類	攻撃の前提	想定される影響	SKYSEA Client View の対象バージョン	SKYMEC IT Manager の対象バージョン
CVE-2026-66109	認可処理の欠如（CWE-862）	対象端末へのログイン	SYSTEM 権限で任意のコードを実行される可能性	Ver.21.210.01f およびそれ以前	Ver.2023.225.03a、Ver.2024.005.10a
CVE-2026-68062	パストラバーサル（CWE-22）	対象端末へのログインと、他の対象端末への UDP 到達性	UDP パケットを受信可能な別の対象端末上で任意のコードを実行される可能性	Ver.19.300.09h から Ver.21.210.01f まで	Ver.2024.005.10a
CVE-2026-68959	パストラバーサル（CWE-25）	対象端末へのログインと、他の対象端末への UDP 到達性	UDP パケットを受信可能な別の対象端末上で任意のコードを実行される可能性	Ver.19.300.09h から Ver.21.210.01f まで	Ver.2024.005.10a
CVE-2026-68960	スタックベースのバッファオーバーフロー（CWE-121）	対象端末へのログインと、他の対象端末への UDP 到達性	UDP パケットを受信可能な別の対象端末上で任意のコードを実行される可能性	Ver.21.210.01f およびそれ以前	Ver.2023.225.03a、Ver.2024.005.10a
CVE-2026-69665	インストール時の不適切なファイルアクセス権設定（CWE-276）	対象端末へのログイン	SYSTEM 権限で任意のコードを実行される可能性	Ver.21.300.12g およびそれ以前	Ver.2025.205.08a およびそれ以前

注目したいのは、CVE ごとに対象バージョンの上限が異なる点です。 たとえば SKYSEA Client View Ver.21.300.12g の環境は、上限が Ver.21.210.01f である 4 件の対象外ですが、CVE-2026-69665 の対象には該当します。逆に Ver.19.300.09h より前のバージョンは、パストラバーサル 2 件の対象範囲から外れる一方、残る 3 件の対象に含まれます。「どのバージョンなら安全か」ではなく、「どの CVE に対して自環境が該当するか」という見方が必要になります。

参考: CVE-2026-66109（CVE Record）
“may execute arbitrary code with SYSTEM privilege”
（SYSTEM 権限で任意のコードが実行される可能性がある）
https://www.cve.org/CVERecord?id=CVE-2026-66109

CVSS スコアの読み方と評価の分かれ方

5 件の CVSS スコアは、バージョン 3.0 と 4.0 で数値の大小が入れ替わります。

CVE-ID	CVSS 4.0	CVSS 3.0	SSVC（CISA-ADP）
CVE-2026-66109	8.5	7.8	Exploitation: none / Automatable: no / Technical Impact: total
CVE-2026-68062	5.8	8.5	Exploitation: none / Automatable: no / Technical Impact: total
CVE-2026-68959	5.8	8.5	Exploitation: none / Automatable: no / Technical Impact: total
CVE-2026-68960	5.8	8.5	Exploitation: none / Automatable: no / Technical Impact: total
CVE-2026-69665	8.5	7.8	Exploitation: none / Automatable: no / Technical Impact: total

前提として、CVSS 3.0 と CVSS 4.0 の数値は単純に比較できません。 CVSS 4.0 はスコアの算出方式そのものが 3.x から変更されており、FIRST も両者のスコアが異なることを説明しています。

参考: CVSS v4.0 Frequently Asked Questions
“the score itself does not describe the important context”
（スコアそのものは、重要な文脈を表現するものではない）
https://www.first.org/cvss/v4-0/cvss-v40-faq.pdf

指標の構成も変わっています。CVSS 4.0 では Scope が廃止され、脆弱なシステムへの影響（VC / VI / VA）と後続システムへの影響（SC / SI / SA）が分離されました。さらに、攻撃者が越える必要のある外部条件を表す Attack Requirements（AT）が追加されています。

たとえば CVE-2026-68062 のベクターは次のとおりです。

• CVSS 3.0: CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H
• CVSS 4.0: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H

4.0 側では VC / VI / VA が None、SC / SI / SA が High となっており、影響の記述先が後続システムに置かれています。5.8 という数値は Scope の扱いだけで説明できるものではなく、算出方式の変更や指標のグルーピングを含めた結果です。数値が 5.8 であることを理由に優先度を下げるのではなく、SC:H/SI:H/SA:H や後述の Technical Impact: total を含めたベクター全体で判断することをおすすめします。

SSVC の評価値は 5 件とも同一です（2026 年 8 月 25 日時点の CISA-ADP コンテナの値）。それぞれの意味は次のとおりです。

• Exploitation: none: 評価時点で CISA-ADP が悪用の証拠を確認していないことを示す値
• Automatable: no: 偵察から悪用までの全工程を、多数の対象に対して安定して自動化できるとは評価されていないという意味
• Technical Impact: total: 悪用された場合、対象システムの制御を全面的に奪われ得るという評価

このうち自動化可能性と技術的影響は、外部公開の状況および KEV 掲載の有無と合わせた 4 項目で対応期限を決める枠組みでも使われます。その考え方は、関連記事『BOD 26-04 の対応期限の読み方』で整理しています。

なお、Exploitation: none は実証コードが存在しないことを直接示す値ではありません。実証コードの公開状況は別に調べる必要があります。執筆時点（2026 年 8 月 26 日）では、今回の 5 件について公開された実証コードや悪用事例、CISA KEV への掲載はいずれも確認できませんでした。今後の状況は変わり得るため、存在しないと断定できる情報ではありません。過去には SKYSEA Client View の CVE-2016-7836 が 2025 年 10 月 14 日に KEV へ追加された経緯もあり、KEV 未掲載を対応を先送りする根拠として扱わない運用が現実的です。

過去の修正が十分でなかった 2 件

CVE-2026-68062 と CVE-2026-68959 は、JVN#84326763 で公表された CVE-2024-41726 への修正が十分でなかったことにより発生したと報告されています。

参考: CVE-2026-68062（CVE Record）
“this vulnerability is due to an incomplete fix for CVE-2024-41726”
（本脆弱性は CVE-2024-41726 への修正が十分でなかったことに起因する）
https://www.cve.org/CVERecord?id=CVE-2026-68062

この事実から引き出せるのは、ベンダーの対応品質に対する一般的な評価ではなく、適用結果を自組織で確認する工程を省略しないという運用上の教訓です。過去に対策済みと記録した環境であっても、今回の対象バージョンと突き合わせる作業が必要になります。管理台帳に「対応済み」とだけ記録され、どの CVE に対する、どのバージョンでの対応だったのかが残っていない場合、今回のような追加修正の際に判断材料が不足します。

対象バージョンと対象プログラムの棚卸し

対策の可否は、製品名、利用形態、バージョン、役割の 4 つが揃って初めて判断できます。どれか 1 つでも曖昧だと、更新漏れが残ります。

確認する項目

棚卸しでは、次の項目を端末単位で整理しておくと判断しやすくなります。

• 製品: SKYSEA Client View か SKYMEC IT Manager か
• 利用形態: M1 Cloud Edition か、S1H / S3H Cloud Edition か、それ以外（サーバーを自組織で保有する構成）か
• 導入バージョン: CVE ごとの対象範囲と突き合わせるため、リビジョンまで記録する
• 役割: マスターサーバー、グローバルマスターサーバー、セカンダリサーバー、管理機、端末機のいずれか
• 状態: 稼働中、オフライン、長期未接続、休止中など
• 体制: 更新担当者と、メンテナンスを実施できる時間帯

公式に示された対象プログラムは、マスターサーバー（グローバルマスターサーバー、セカンダリサーバーを含む）、管理機、端末機、スタンドアロン端末機で、いずれも Windows OS が対象とされています。大規模環境では、これら以外にデータサーバーや HTTP ゲートウェイサーバー、サーバー監査用のモジュールを導入している構成もあります。公式告知に記載のない構成要素の扱いについては、保守契約ユーザー用サイトの情報を確認するか、ベンダーへ問い合わせる必要があります。

システム構成そのものの整理には、公式の技術資料が参考になります。

参考: SKYSEA Client View システム構成
「マスターサーバー、データサーバーともに、1台あたり5,000クライアントまで管理できます」
https://www.skyseaclientview.net/product-info/system/

バージョンの確認方法

各端末のバージョン確認手順や、管理機からバージョンを一覧出力する具体的な操作は、公開されている商品サイトからは確認できませんでした。マニュアルやオンラインマニュアルは保守契約ユーザー用サイトで提供されているため、手順は公式の資料で確認する必要があります。推測による画面操作やファイルパスをここで示すことは避けます。

なお、サポート対象バージョンの考え方は公開情報から確認できます。

参考: 最新版ご提供・情報発信
「サポートの対象となるSKYSEA Client Viewのバージョンは、最新のメジャーバージョンを含め、3世代までです」
https://www.skyseaclientview.net/support/guide/

今回の告知では、脆弱性情報ハンドリングポリシーに沿った対応として、対策済みバージョンへのアップデーターのリリースと、サポート中のバージョンに対する対策パッチのリリースが実施されたと記載されています。修正モジュールがこの「サポート中のバージョンに対する対策パッチ」に該当するため、サポートが終了しているバージョンが提供対象に含まれるかどうかは、告知の記載だけでは判断できません。自環境のバージョンが提供対象かどうかは、保守契約ユーザー用サイトで確認する必要があります。

環境別の対策方法

ベンダー告知は、SKYSEA Client View、SKYSEA Client View M1 Cloud Edition、SKYMEC IT Manager の 3 つに分けて記載されています。同一組織内で複数の形態が併存している場合は、それぞれ別の手順として管理することになります。

SKYSEA Client View（M1 Cloud Edition 以外）

ベンダー告知の見出しは「SKYSEA Client View をご利用のお客様へ」であり、オンプレミス版という限定はされていません。この区分に対しては、2 つの選択肢が案内されています。

参考: Ｓｋｙ株式会社の脆弱性情報
「Ver.21.310.01a以降へのアップデートを実施いただくか、修正モジュールを適用いただけますようお願いいたします」
https://www.skyseaclientview.net/news/260824_01/

アップデートモジュールと修正モジュールはいずれも保守契約ユーザー用 Web サイトで提供されています。どちらを選ぶかの一般的な判断材料は次のとおりです。

アップデート

5 件すべてが対象外となるバージョンへ移行できる。一方で、バージョン差分が大きい場合は機能変更や動作確認の範囲が広がる

修正モジュール

現行バージョンを維持したまま対処できる。一方で、告知上は「サポート中のバージョンに対する対策パッチ」と位置づけられている

ただし、修正モジュールが対応する CVE の範囲、適用の前提条件、再起動の要否、サーバーと端末の適用順序、ロールバックの可否は、公開情報からは確認できませんでした。これらは公式の更新手順書または脆弱性に関する FAQ で確認する必要があります。特に適用順序と再起動の要否は業務影響に直結するため、計画を立てる前に確認しておくことをおすすめします。

なお、SKYSEA Client View にはクラウド版として M1 Cloud Edition のほかに S1H / S3H Cloud Edition があり、公式サイトの運用形態の比較では、アップデートの実施主体が M1 Cloud Edition は Ｓｋｙ株式会社、S1H / S3H Cloud Edition とオンプレミス版は利用者側と整理されています。

参考: SKYSEA Client View S1H / S3H Cloud Edition
「クライアントPCのエージェントプログラムなど、SKYSEA Client Viewのアップデートはお客様が任意で実施」
https://www.skyseaclientview.net/cloud/introduction/s_edition.html

ただし、今回の告知には S1H / S3H Cloud Edition 向けの見出しがありません。S1H / S3H Cloud Edition を利用している場合は、今回の対策方法がどの区分に該当するかを、保守契約ユーザー用サイトで確認するか、ベンダーへ問い合わせて確認する必要があります。

SKYSEA Client View M1 Cloud Edition

M1 Cloud Edition について公開情報から確認できるのは、2026 年 8 月 24 日から修正モジュールの配信が開始され、端末機への適用が順次自動的に実施されるという点までです。

管理機など他の役割の扱いや、適用状況を管理者側で確認する方法は、告知本文からは確認できませんでした。これらは保守契約ユーザー用 Web サイトの情報および脆弱性に関する FAQ で確認する必要があります。長期にオフラインの端末や休止中の端末について、接続状況によって適用時期がどう変わるかも公開情報では確認できないため、あわせて公式 FAQ で確認することをおすすめします。配信開始をもって全端末の対応完了とみなさない運用が安全です。

SKYMEC IT Manager

SKYMEC IT Manager については、修正モジュールの提供が案内されています。SKYSEA Client View のようなアップデート版への移行は、今回の告知内では言及されていません。

ダウンロード方法と適用手順は、ログインが必要な保守契約ユーザー用 Web サイト（sp.skymec.net）に限定されています。医療機関では電子カルテ端末や検査系の端末が含まれる場合があり、メンテナンス時間の確保が難しいケースも想定されます。適用の前提条件と所要時間を事前に確認したうえで、部門ごとの調整に入る流れが現実的です。

多数の端末へ段階的に展開する進め方

SKYSEA Client View の導入実績は 26,156 社、13,426,549 クライアントとされています（2026 年 7 月 31 日現在、オンプレミス版とクラウド版の合計。出典: https://www.skyseaclientview.net/point/ ）大規模環境では、全端末への一斉適用が業務影響と切り分けの両面でリスクを伴います。

なお、SKYSEA Client View にはソフトウェア配布機能があり、公式サイトでも複数のクライアント PC へのインストールや設定変更を一括で行える機能として紹介されています。ただし、今回の修正モジュールを同機能で配布できるかどうかは公開情報から確認できません。 配布可能かどうかは、公式の更新手順書または FAQ で確認する必要があります。

適用後の確認と更新漏れの防止

大規模環境で更新漏れが発生する典型的な原因は、完了条件を「配信操作を実施したこと」に置いてしまうことです。完了条件は、対象台数と適用済み台数が一致し、差分の理由が説明できる状態に置くことをおすすめします。

確認しておきたい項目は次のとおりです。

• 対象となるサーバー、管理機、端末機、スタンドアロン端末機の総数
• アップデートまたは修正モジュールの適用済み台数
• オフライン、適用待ち、失敗となった端末の台数と、それぞれの理由
• 製品の管理通信やサービスが適用後も正常であること
• 資産情報の収集、ログ収集、代表的な管理操作に問題が出ていないこと
• 適用日時、対象、結果、例外端末を記録として残していること

修正モジュールの適用有無を判定する具体的な方法は、公開情報からは確認できませんでした。管理機の資産情報でバージョンを一覧化できるかを含め、判定方法は公式の FAQ または更新手順書で確認する必要があります。判定方法が確定するまでは、適用作業のログと台帳の突き合わせで代替する運用になります。

CVE-2026-68062 と CVE-2026-68959 が過去の修正の不足に起因していた点を踏まえると、今回の対応でも「適用した」という記録だけでなく、どのバージョンへ、どの CVE を対象に、いつ対応したのかを残しておくことが、次回の脆弱性公表時の判断材料になります。

まとめ

SKYSEA Client View と SKYMEC IT Manager の 5 件の脆弱性は、いずれも対象端末にログインできる攻撃者を前提とするものですが、SYSTEM 権限での任意コード実行や、UDP パケットが届く別端末での任意コード実行につながる可能性があります。対象は端末機だけでなくサーバーや管理機にも及ぶため、役割単位での棚卸しが対応の起点になります。対策自体はアップデートまたは修正モジュールの適用ですが、利用形態ごとに手順が分かれ、告知に区分の記載がない形態では確認が必要になります。

• 2026 年 8 月 24 日公表、SKYSEA Client View と SKYMEC IT Manager が対象
• CVE ごとに対象バージョンの上限が異なるため個別の突き合わせが必要
• 対象プログラムはマスターサーバーや管理機を含む Windows プログラム全般
• M1 Cloud Edition 以外は Ver.21.310.01a 以降へのアップデートまたは修正モジュール
• M1 Cloud Edition は 2026 年 8 月 24 日から修正モジュールを順次自動適用
• 一斉適用ではなく代表環境での先行確認と段階展開が現実的
• 完了条件は配信操作ではなく対象台数と適用済み台数の一致

以上、最後までお読みいただきありがとうございました。