しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

QND（クオリティソフト）に脆弱性 CVE-2026-81326・CVE-2026-84408 — アップデート＋パッチで対策、管理者ID窃取に注意（2026年9月16日公表）

・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングQND

この記事のポイント: JPCERT/CC（JVN）は2026年9月16日、クオリティソフトの「QND」に管理者ID・パスワード窃取の恐れなど脆弱性2件があると公表しました。対象はPremium/Standard/AdvanceのWindowsクライアントで、対策はアップデート後の修正プログラム適用です。

QND（クオリティソフト）に脆弱性 CVE-2026-81326・CVE-2026-84408 — アップデート＋パッチで対策、管理者ID窃取に注意（2026年9月16日公表）

JPCERT/CC は2026年9月16日、クオリティソフト株式会社の「QND」（Premium／Standard／Advance）に、QNDに設定された管理者ID・パスワードが窃取される恐れのある脆弱性「CVE-2026-81326」と、管理者権限で任意のコマンドを実行される恐れのある脆弱性「CVE-2026-84408」があると公表しました（出典: JVN、2026年9月20日取得）。対象はいずれも各製品の Windows クライアントで、影響するのは QND Premium／Standard の Ver.11.1i 以前、Advance の Ver.11.0.9i 以前です。管理者が今すべきことは、開発者が提供する情報をもとに対象バージョンへアップデートしたうえで、修正プログラム（パッチ）を適用することです。

何が起きたか（要点）

JVN が2026年9月16日に公表した脆弱性情報（JVN#95825631 / JVNDB-2026-000135）によると、クオリティソフト株式会社の「QND」に2件の脆弱性があります。開発者のページの記載によると、一般権限のユーザーでログオンすることで、QNDに設定された管理者ID・パスワードの奪取、および該当PC上で直接、または該当PCにSMB経由で細工された命令を管理者権限で実行できる危険性があります（出典: クオリティソフト、2026年9月20日取得）。

影響する製品とバージョンの確認方法

対象はクオリティソフト株式会社の「QND」で、影響するバージョンは次のとおりです（出典: JVN、2026年9月16日公表／クオリティソフトの脆弱性情報ページ、2026年9月20日取得）。

対象プログラムは Windows クライアントです。自社環境で QND を利用している場合は、導入している製品名（Premium／Standard／Advance）とクライアントのバージョンを管理画面やベンダーの案内で確認してください。上記のバージョンに当てはまる場合は、次の章の対策を進めてください。

管理者が今すべきこと（アップデートとパッチ適用）

開発者であるクオリティソフト株式会社は、対策として「Ver.11.0.9i または Ver.11.1i にアップデートしたうえでパッチを適用する」ことを案内しています（出典: JVN、2026年9月16日公表）。修正プログラムは製品利用者専用ポータルで提供されており、ダウンロードには製品利用者専用ポータルのIDとパスワードが必要です（出典: クオリティソフト、2026年9月20日取得）。回避策の公表は確認できていません。

  1. 製品利用者専用ポータルの脆弱性情報ページに、専用ポータルIDとパスワードでログインします（ポータルの脆弱性情報ページ）。
  2. 案内に従い、利用中の製品を対象バージョン（Ver.11.0.9i または Ver.11.1i）にアップデートします。
  3. 修正プログラム（パッチ）をダウンロードして適用します。手順の詳細はベンダーの脆弱性情報ページとFAQ（https://qweb.qualitysoft.com/license/QND_vulnerabilities_2026/inquiry_FAQ.cfm）を確認してください（いずれも2026年9月20日取得）。

アップデートの前後に、QNDに設定された管理者ID・パスワードをほかのサービスと使い回している場合は、パスワードの変更を検討してください。あわせて、不審なログイン履歴がないかを確認します。

CVSS 5.5・8.8 という値の読み方

CVE-2026-81326 の CVSS v3.0 基本値は 5.5（AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N）・深刻度「中程度」、CVE-2026-84408 は 8.8（AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）・深刻度は高い評価です（出典: JVN、2026年9月16日公表）。CVSS v4.0 基本値はそれぞれ 6.8 と 8.7 です。

評価の内訳を見ると、CVE-2026-81326 は AV:L（ローカル）・PR:L（低い権限）で、攻撃に PC へのログオンが必要な形態です。CVE-2026-84408 は AV:N（ネットワーク経由）で、SMB 経由での攻撃が条件に含まれます。いずれも不特定多数が遠隔から勝手に攻撃できる形態ではなく、QND が導入された PC にログインできる攻撃者が前提です。ただし、管理者ID・パスワードの奪取と管理者権限での命令実行につながるため、対象環境では対策を急いでください。なお、この脆弱性による実際の被害事例の公表は、執筆時点（2026年9月20日）で確認できていません。

よくある質問

Q. QNDの脆弱性（CVE-2026-81326・CVE-2026-84408）とは何ですか？

クオリティソフト株式会社の「QND」（Windows クライアント）で見つかった2件の脆弱性です。CVE-2026-81326 はハードコードされた暗号鍵の使用（CWE-321）で、QNDに設定された管理者ID・パスワードが窃取される恐れがあります。CVE-2026-84408 は名前付きパイプに対するアクセス制限の不備（CWE-782）で、SYSTEM権限で任意のコマンドを実行される恐れがあります。JVN が2026年9月16日に公表しました。

Q. QNDの脆弱性対策（パッチ適用）はどうすればよいですか？

Ver.11.0.9i または Ver.11.1i にアップデートしたうえで、修正プログラム（パッチ）を適用します。修正プログラムは製品利用者専用ポータルで提供されており、ダウンロードには専用ポータルのIDとパスワードが必要です（出典: JVN・クオリティソフト、2026年9月20日取得）。手順の詳細はベンダーの脆弱性情報ページとFAQを確認してください。

Q. この脆弱性でパスワード流出やアカウント乗っ取りは起きていますか？

執筆時点（2026年9月20日）で、この脆弱性による被害事例の公表は確認できていません。公表されているのは、攻撃の恐れ（QNDに設定された管理者ID・パスワードの奪取、管理者権限での命令実行）と対策です。QNDの管理者ID・パスワードをほかのサービスと使い回している場合は、流出時に被害が広がるため、パスワードの変更と二段階認証の有効化を検討してください。

Q. QNDが入ったPCを使う一般ユーザーは何に気をつければよいですか？

攻撃の前提は「Windows クライアントがインストールされた PC にログイン可能な攻撃者」です（出典: JVN、2026年9月16日公表）。PCを離席するときは画面をロックする、知らない人にPCを使わせない、身に覚えのない動きや不審な挙動があれば管理者に相談する、といった基本を守ってください。対策の適用（アップデート＋パッチ）は管理者側で行われます。

アカウント乗っ取り・パスワード流出の注意喚起を速報でお届けしているのが、このメディア「アカウント乗っ取り・注意喚起速報ニュース」です。新しい注意喚起が公表されたときは、利用者が取るべき手順と一緒にまとめてお伝えします。

出典: JVN（JVN#95825631 / JVNDB-2026-000135）、2026年9月16日公表（2026年9月20日取得）。ベンダー情報: クオリティソフト株式会社「QNDにおける脆弱性について」（2026年9月20日取得）。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針