ASUS Control CenterにCVSS 10.0の重大脆弱性CVE-2026-75754 — 認証なしでroot権限奪取、修正版v3.1.0.9を公開

ASUSは2026年9月上旬、法人向けIT管理ソフトウェア「ASUS Control Center」の重大な脆弱性CVE-2026-75754に対応するセキュリティ更新を公開した。共通脆弱性評価システムCVSS 4.0の基本スコアは10.0（最高値）で、認証を持たないリモートの攻撃者が管理者権限を奪える。ASUSは全利用者へ修正版v3.1.0.9以降への即時更新を強く推奨している。

影響範囲と深刻度 — ACC 4.0.0.2以前、CVSS 4.0で10.0

ASUSのセキュリティアドバイザリによると、影響を受けるのはASUS Control Center Enterprise（ACC）の4.0.0.2以前のバージョンだ。CVE番号はCVE-2026-75754で、CVSS 4.0のベクトルは攻撃元区分がネットワーク（AV:N）、攻撃条件の複雑さが低（AC:L）、特権不要（PR:N）、利用者の操作不要（UI:N）と、ネットワーク経由で無認証・無操作で悪用できる組み合わせだ。機密性・完全性・可用性への影響はいずれも高（H）と評価されている。NVDへの登録日は2026年9月4日だ。

攻撃の流れ — 暗号鍵の取得からSSH経由のrootシェルへ

NVDの説明によると、この脆弱性は「重要な機能に対する認証の欠落」「サーバー側リクエストフォージェリ（SSRF）」「ハードコードされた認証情報」という3種類の問題の組み合わせだ。攻撃者はまずHTTP要求で暗号鍵を入手し、ローカルサービスにポート2222でSSHを有効化させる。次に固定化された認証情報（ハードコード認証情報）でSSHログインし、rootシェルを取得する。rootシェルとはシステムの最高権限で命令を実行できる状態だ。

攻撃が成功すると、Control Center上のデータの読み取り・書き込み・削除に加え、同ソフトが管理する社内のサーバー・PC・ワークステーション群の遠隔操作が可能になるとされる。管理対象機器を束ねる管理ソフトが奪われるため、被害が管理下の機器全体へ広がり得る点が深刻だ。

ASUSの呼びかけ — v3.1.0.9以降へ直ちに更新を

ASUSはアドバイザリで、すべての利用者に対してASUS Control Centerをバージョンv3.1.0.9以降へ直ちに更新するよう強く推奨している（公表文では影響対象をACC 4.0.0.2以前、修正版をv3.1.0.9以降と記載している）。管理者権限を持つIT管理ソフトは攻撃者にとって価値の高い標的になる。Control Centerを導入している組織は、稼働中のバージョンを確認し、修正版への更新を優先してほしい。

出典

• ASUS Security Advisory — Security Update for ASUS Control Center（CVE-2026-75754、CVSS 4.0で10.0）
• NVD — CVE-2026-75754（2026年9月4日登録）