しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

Siemens Mendix SAMLのアカウント乗っ取り脆弱性とは？ CVE-2026-80465の対策版と更新手順（2026年9月3日公表）

・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングSiemensMendixSSO

この記事のポイント: Siemensは2026年9月3日、Mendix SAMLモジュールのSAMLレスポンス署名検証不備（CVE-2026-80465・CVSS v3.1 8.7）によるアカウント乗っ取りの脆弱性を公表しました。対策は、Mendix MarketplaceからモジュールをV3.6.27以降（Mendix 9.24向け）／V4.2.3以降（Mendix 10・11向け）へ更新することです。

Siemens Mendix SAMLのアカウント乗っ取り脆弱性とは？ CVE-2026-80465の対策版と更新手順（2026年9月3日公表）

Siemensは2026年9月3日、MendixアプリケーションでSSO（SAML認証）に使われる「Mendix SAML」モジュールに、SAMLレスポンスの署名検証が不適切なためアカウント（セッション）の乗っ取りが可能になる脆弱性（CVE-2026-80465・CVSS v3.1 8.7）を公表しました。影響を受けるのは Mendix 9.24互換では V3.6.27未満、Mendix 10・11互換では V4.2.3未満の全バージョンです。対策は Mendix Marketplace から修正版モジュールへ更新することです（出典: Siemens SSA-887643、2026年9月25日取得）。

何が起きたか（要点）

この注意喚起は、Siemensが月次で公表するセキュリティアドバイザリの一覧（2026年9月）に含まれる1件です。日本の JPCERT/CC も JVNVU#97027767「Siemens製品のアップデート（2026年9月）」として2026年9月4日に案内し、9月24日に更新しています（出典: JVN JVNVU#97027767、2026年9月25日取得）。

影響を受ける条件と、アカウント乗っ取りに至る経路

Siemensのアドバイザリによると、影響を受ける版のモジュールではSAMLレスポンスの署名検証が正しく行われません。SAMLの署名検証は「応答が本当に信頼できるIdPから来たか」を確かめる仕組みで、ここが破られると攻撃者が用意した応答を正規のログインとして受け入れられます。結果として、特定のSSO構成では第三者が他人のセッションを取得するアカウント乗っ取りに至る可能性があります（出典: Siemens SSA-887643、2026年9月25日取得）。

悪用には「特定のSSO構成」という条件と高い攻撃複雑度（AC:H）があります。その一方で認証前のリモート攻撃が対象で、機密性・完全性への影響が高い（C:H/I:H）と評価されています。SAMLでSSOを組んでいるMendixアプリケーションを運用している場合は、構成の確認と更新を先送りしないでください。

今すべきこと（運用者の手順）

  1. 使用している Mendix SAML モジュールの版数を確認します。Mendix 9.24互換なら V3.6.27未満、Mendix 10・11互換なら V4.2.3未満が影響を受けます。
  2. Mendix Marketplace から修正版（V3.6.27以降／V4.2.3以降）へ更新します（出典: Siemens SSA-887643）。
  3. Siemensの指示に従い、ネットワークアクセスを適切な機構で保護し、Industrial Security の運用ガイドラインに沿った環境で運用します。
  4. 同じ9月のアドバイザリ集に含まれる他の製品（Desigo CC、Industrial Edge Management、SCALANCE LPE9403、SIMOVE Fleetmanager など）を使っていないかも確認し、該当する場合は各アドバイザリの指示で更新します（出典: JVN JVNVU#97027767、2026年9月25日取得）。

よくある質問

Q. CVE-2026-80465とはどのような脆弱性ですか？

SiemensのMendix SAMLモジュールで、SAMLレスポンスの署名検証が不適切な問題です（CWE-347）。CVSS v3.1 で 8.7、v4.0 で 8.8 と評価され、特定のSSO構成でアカウント（セッション）の乗っ取りが可能になります。影響版は Mendix 9.24互換の V3.6.27未満、Mendix 10・11互換の V4.2.3未満です（出典: Siemens SSA-887643、2026年9月25日取得）。

Q. 対策版はどのバージョンですか？

Mendix 9.24向けは V3.6.27以降、Mendix 10・11向けは V4.2.3以降です。Mendix Marketplace から最新版のモジュールを取得して更新してください。更新までの間は、SSO構成の見直しやネットワークアクセスの保護などSiemensが示す緩和策を検討します（出典: Siemens SSA-887643、2026年9月25日取得）。

Q. Mendix SAMLの更新はどうすればよいですか？

まず自社のMendixアプリケーションがSAML認証（SSO）を使っているか、使っているならMendix SAMLモジュールの版数を確認します。影響版なら Marketplace から修正版を取り込み、ビルドして検証環境で確認の上、本番へ反映します。あわせて9月のSiemensアドバイザリ集（新規9件・更新8件）に自分の利用製品が無いかを確認してください（出典: JVN JVNVU#97027767、2026年9月25日取得）。

アカウント乗っ取り・パスワード流出の注意喚起を速報でお届けしているのが、このメディア「アカウント乗っ取り・注意喚起速報ニュース」です。SSOや認証基盤の脆弱性が公表されたときは、利用者・運用者が取るべき手順と一緒にまとめてお伝えします。

出典: Siemens SSA-887643「Siemens Security Advisory by Siemens ProductCERT」（2026年9月3日公表・2026年9月25日取得）。JVN JVNVU#97027767「Siemens製品のアップデート（2026年9月）」（2026年9月4日公表・最終更新2026年9月24日・2026年9月25日取得）。本記事は公表された事実の列挙と利用者側の対策の案内を目的としています。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針