Linuxから産業機器まで GNU Inetutils telnetdに深刻な脆弱性：セキュリティニュースアラート

GNU Inetutilsのtelnetdに、未認証の遠隔攻撃者によって任意のコード実行が可能となる脆弱性が発見された。TELNETは通信内容が平文で送信される旧来のプロトコルで、現代のセキュリティ要件には適さないが、産業分野や政府系システムでは依然として使用されているため注意が必要だ。

[ITmedia エンタープライズ編集部，ITmedia]

　Dreamは2026年3月14日（現地時間）、「GNU Inetutils」に含まれる「telnetd」に重大な脆弱（ぜいじゃく）性が存在すると発表した。識別番号は「CVE-2026-32746」で、深刻度はCVSS 9.8で「緊急」に分類されている。

影響範囲はLinuxから産業機器まで拡大

　この問題は、TELNETのLINEMODEにおけるSLC（Set Local Characters）処理に起因するバッファーオーバーフローだ。攻撃者は認証を経ることなく、接続直後のネゴシエーション段階で細工したデータを送信することで不正なコードを実行できる。ログイン前に発生する点が特徴で、防御や検知を困難にする要因となる。

　影響を受けるのはGNU Inetutilsのtelnetdを利用する全環境で、バージョン2.7までが対象となる。「Linux」のディストリビューションの他、組み込み機器やIoT機器、産業制御システムなど幅広い領域に影響が及ぶ可能性がある。特にTCPポート23を公開している機器は攻撃対象となり得る。

　TELNETは通信内容が平文で送信される旧来のプロトコルであり、現代のセキュリティ要件には適さないとされるが、産業分野や政府系システムでは依然として使用例が残る。古い設備や制御機器はSSHなどへの移行が困難で、更新に高コストや運用停止を伴う場合がある。脆弱性の影響は情報システムの枠を超え、電力や水処理、製造ラインなど物理インフラにも及ぶ懸念がある。

　攻撃が成功した場合、telnetdがroot権限で動作する特性により、完全なシステム制御を奪われる可能性がある。バックドアの設置や機密情報の窃取、さらなる侵入の足掛かりとして悪用される可能性がある。1回の接続のみで成立するため、攻撃の成立条件は低い。

　Dreamは公開時点で実際の攻撃事例は確認されていないとしつつも、容易に悪用可能な性質を踏まえ、緊急の対応が必要だと指摘する。修正パッチが提供されるまでの暫定措置として、telnetdの停止やポート23の遮断、アクセス制御の強化が推奨されている。

　検知の観点において、通常の認証ログでは攻撃を把握できないため、ネットワークレベルでの監視が重要となる。接続ログの記録やパケット解析、IDSによる異常検知などを組み合わせることで兆候の把握が可能とされる。特に異常に長いSLCデータを含む通信は攻撃の指標となる。

　ログは外部システムに保管し、侵害後の改ざんを防ぐことが望ましい。加えて、必要に応じてサービスを分離し、影響範囲を限定する構成も有効とされる。

　今回の問題は旧来技術の継続利用に伴うリスクをあらためて示す事例となった。