SKYSEA Client ViewとSKYMEC IT Managerに5件の脆弱性 — SYSTEM権限でのコード実行や他端末への拡散の恐れ、修正版21.310.01aを公開

Ｓｋｙ株式会社は2026年8月24日、IT資産管理ツール**「SKYSEA Client View」および「SKYMEC IT Manager」に5件の脆弱性が存在すると公表した。情報処理推進機構（IPA）とJPCERTコーディネーションセンターが運営する「Japan Vulnerability Notes（JVN）」でもJVN#33423625**として同日公開された。いずれもWindowsで稼働するマスターサーバや管理機、端末機などが対象で、修正版や修正モジュールへの更新が呼びかけられている。

5件の脆弱性 — 認可欠如から他端末への拡散まで

ＳｋｙとJVNによると、脆弱性の内訳は次のとおりだ。いずれも当該製品がインストールされたWindows端末にログイン可能な攻撃者が起点となり、条件により同一ネットワーク内でUDPパケットを受信可能な他端末へ影響が波及する。

CVE	種別（CWE）	CVSS v4.0	CVSS v3.0	想定される影響
CVE-2026-66109	認可処理の欠如（CWE-862）	8.5	7.8	ログイン可能な攻撃者がSYSTEM権限で任意コード実行
CVE-2026-69665	インストール時の不適切なファイル権限（CWE-276）	8.5	7.8	同上、SYSTEM権限で任意コード実行
CVE-2026-68062	パストラバーサル（CWE-22）	5.8	8.5	UDPが届く他端末で任意コード実行
CVE-2026-68959	パストラバーサル（CWE-25）	5.8	8.5	同上、他端末で任意コード実行
CVE-2026-68960	スタックベースのバッファオーバーフロー（CWE-121）	5.8	8.5	同上、他端末で任意コード実行

CVSSの数値はJVNとＳｋｙが公表したベクトルに基づく基本値だ。v4.0では認可欠如と権限不備が8.5、残り3件が5.8と評価される一方、v3.0では逆にパストラバーサルとバッファオーバーフローの3件が8.5となる。評価手法の違いによるもので、いずれも深刻度が高いことに変わりはない。

JVNは、CVE-2026-68062とCVE-2026-68959は2024年に公表されたCVE-2024-41726（JVN#84326763）への修正が不十分だったために生じた問題だと説明している。過去の修正が完全でなかったことが、再発の要因になった。

影響を受けるバージョン

影響を受けるバージョンは製品とCVEで異なる。ＳｋｙとJVNが示す範囲は次のとおりだ。

SKYSEA Client View

• CVE-2026-66109 / CVE-2026-68960: Ver.21.210.01fおよびそれ以前
• CVE-2026-68062 / CVE-2026-68959: Ver.19.300.09hからVer.21.210.01fまで
• CVE-2026-69665: Ver.21.300.12gおよびそれ以前

SKYMEC IT Manager

• CVE-2026-66109 / CVE-2026-68960: Ver.2023.225.03a、Ver.2024.005.10a
• CVE-2026-68062 / CVE-2026-68959: Ver.2024.005.10a
• CVE-2026-69665: Ver.2025.205.08aおよびそれ以前

対象プログラムはマスターサーバ（グローバルマスターサーバ、セカンダリサーバを含む）、管理機、端末機、スタンドアロン端末機で、いずれもWindows OSが対象だ。SKYSEA Client Viewは国内の企業や官公庁、教育機関で広く導入されているIT資産管理・ログ管理基盤で、端末数が多い環境では1台の侵害が他端末へ連鎖する点に注意が必要だ。

報告者は、CVE-2026-66109、CVE-2026-68062、CVE-2026-68959、CVE-2026-68960の4件が富士通株式会社のサイフィエフ ルスラン氏とファウストヴ デニス氏、CVE-2026-69665が早水優二氏で、いずれも製品開発者への直接報告と調整を経てJVNで公表された。

修正版とＳｋｙが示す対応

Ｓｋｙは、修正版と修正モジュールを保守契約ユーザー向けに提供しており、次の対応を推奨している。

• SKYSEA Client Viewを利用中の場合: 保守契約ユーザー用Webサイトで提供されるVer.21.310.01a以降へのアップデート、または修正モジュールの適用をＳｋｙは求めている。
• SKYSEA Client View M1 Cloud Editionを利用中の場合: 2026年8月24日から修正モジュールの配信が開始され、端末機へ順次自動適用される。Ｓｋｙは保守契約サイトでの詳細確認を案内している。
• SKYMEC IT Managerを利用中の場合: 同様に保守契約ユーザー用Webサイトで提供される修正モジュールの適用をＳｋｙは求めている。

Ｓｋｙは、脆弱性情報ハンドリングポリシーに従い、サポートニュースでの連絡、商品サイトと保守契約サイトでの告知、対策済みバージョンのアップデーターとサポート中バージョン向けパッチの提供を実施したとしている。

利用者が確認すべきこと

ＳｋｙとJVNは、開発者が提供する情報をもとにパッチを適用することを呼びかけている。SKYSEA Client Viewは特権的なエージェントとして動作し、SYSTEM権限でのコード実行は端末の完全な制御につながる。さらに3件の脆弱性はUDP経由で他端末へ拡散可能とされており、1台の対策漏れが組織全体へ広がる恐れがある。

管理者は、導入バージョンが影響範囲に含まれるか、保守契約サイトで提供されるアップデートモジュールまたは修正モジュールの適用状況、M1 Cloud Editionでは自動配信の適用状況を確認することが重要だ。

---

出典

• Ｓｋｙ株式会社「【重要】SKYSEA Client ViewおよびSKYMEC IT Managerにおける複数の脆弱性（CVE-2026-66109、CVE-2026-68062、CVE-2026-68959、CVE-2026-68960、CVE-2026-69665）」（2026年8月24日） https://www.skyseaclientview.net/news/260824_01/
• Japan Vulnerability Notes JVN#33423625「SKYSEA Client ViewおよびSKYMEC IT Managerにおける複数の脆弱性」（2026年8月24日） https://jvn.jp/jp/JVN33423625/index.html