Telerik UI for ASP.NET AJAXに認証なしRCEの連鎖、公開PoCが登場 — 推奨の暗号化キー設定が悪用の前提に

業務システムのWeb画面で広く使われる部品群「Telerik UI for ASP.NET AJAX」に、認証なしでサーバー上のコード実行（RCE）に至る脆弱性の連鎖が確認され、2026年9月7日に実証コード（PoC）が公開された。発見したセキュリティ企業のTanto Securityは、AES-CBC暗号のパディングオラクル（暗号文の復号可否の応答差から平文を推測する攻撃）を起点に、2件の脆弱性と組み合わせてRCEを実現したと説明している。開発元のProgress Softwareは2026年7月に修正版を公開済みだが、PoCの公開により攻撃の再現性が高まった。利用組織は影響の有無を確認する必要がある。

影響範囲は2010年版から2026年春版まで — 修正版は2026.2.708

Progress Softwareの公式セキュリティ速報（2026年7月22日更新）によると、対象はTelerik UI for ASP.NET AJAXの2026.2.519（2026 Q2）以前で、CVE番号はCVE-2026-13181〜13186とCVE-2026-13190の7件が割り当てられている。影響を受ける部品と版数は次の通りだ。

• RadAsyncUpload（ファイルアップロード部品）: 2010.1.309〜2026.2.519
• RadPersistenceManager（画面状態の保存部品）: 2013.1.220〜2026.2.519
• RadDockLayout（画面レイアウト部品）: 2013.1.220〜2026.2.519

修正版は2026.2.708（2026 Q2 SP1）以降で、Progressは更新を唯一の公式推奨策としている。悪用が成立すると、認証なしのリモート攻撃者がアプリケーションプールの権限で任意のコードを実行でき、サーバーの完全な侵害やデータの持ち出し、内部への横展開につながる恐れがある。Progressは、悪用に目立った症状はなく、標準のASP.NETエラーログにも明確な痕跡が残らないと注意を促している。

連鎖の起点はパディングオラクル — 推奨設定が前提条件になる皮肉な構造

Tanto Securityの研究者Marcio Almeida氏の報告によると、攻撃の起点はRadAsyncUpload関連の処理に残る認証なしのAES-CBCパディングオラクルだ。攻撃者はこの応答差を利用して暗号化パラメーターを解読・偽造し、後段のデシリアライゼーション（信頼できないデータの復元処理）とパストラバーサル（想定外の場所へのファイル操作）の脆弱性と組み合わせてRCEに到達する。

注目すべきは、連鎖の成立に初期状態では満たされない複数の前提条件がある点だ。Tanto Securityが挙げた条件は次の通りである。

1. 外部から到達できるページにRadAsyncUploadの部品があり、サーバー側のFileUploaded処理がUploadResultを読み取る構成であること
2. サイトに独自の非初期値であるTelerik.AsyncUpload.ConfigurationEncryptionKeyが設定されていること（同キーの設定はTelerikが推奨する堅牢化策の一つ）
3. customErrorsがOnの場合は、応答時間の差を読むタイミング分析が必要になり、攻撃の手間は増す（ただし不能にはならない）

すなわち、推奨される堅牢化設定を施したサイトが、かえって連鎖の条件を満たすという皮肉な構造になっている。Tanto Securityは条件付きながら、該当するサイトは速やかに2026.2.708以降へ更新するよう求めている。

利用者が今すべきこと — 版数の確認と修正版への更新

Progressの速報が示す対応は明確で、修正版への更新が唯一の公式推奨策だ。即時更新が難しい場合の暫定緩和策として、Web.configのcustomErrorsをRemoteOnlyまたはOnにすることや、暗号化キー関連の設定（Telerik.AsyncUpload.ConfigurationEncryptionKeyなど）の利用状況の見直しを挙げている。

利用者はまず、Visual Studioでプロジェクトを開き、参照中のTelerik.Web.UI.dllの版数を確認し、2026.2.519以前かどうかを確かめる必要がある。2010年版までさかのぼって影響が及ぶため、長年更新していない業務システムで同部品が使われていないか、資産の棚卸しと合わせて点検したい。なお、本稿執筆時点で、Tanto SecurityとProgressの一次情報に実悪用（実際に攻撃で使われた事例）の記載は確認されていない。PoC公開後の動向に注意しつつ、修正版への更新を優先するのが妥当だ。

出典

• Tanto Security「From Padding Oracle to Shell: Unauthenticated RCE in Telerik UI for ASP.NET AJAX」（2026年9月7日）: https://tantosec.com/blog/2026/09/telerik-padding-oracle-to-shell/
• Progress Software「Critical Security Bulletin - Multiple Vulnerabilities Chained to Remote Code Execution (July 2026)」（2026年7月22日更新）: https://www.telerik.com/products/aspnet-ajax/documentation/knowledge-base/kb-security-critical-rce-chain-bulletin-july-2026