Sentinel Keys Serverの重大な弱点。保守会社へ何を聞く？

どんな機能？ 名前を知らなくても、使っているかも。

Thales（タレス）のSentinel Keys Server（センチネル・キーズ・サーバー）は、ソフトの利用条件を確認するライセンス保護の部品です。メーカーの旧移行資料には従来製品側の構成要素として載っています。業務ソフトの商品名と、内部で使うライセンス部品名・版が同じとは限りません。

説明用の場面です。いつもの業務ソフトが起動していても、そのライセンスを確認する部品の保守担当は別かもしれません。実際に当該部品を使うか、どのWindows機で動くかは提供元へ確認します。特定の業種や国内企業への導入を確認した例ではありません。

何が起きるおそれがある？

CVE-2026-78403（シー・ブイ・イー、弱点を識別する番号）は、認証も利用者のクリックも必要としない条件の問題です。対象サービスへ通信が届く相手から、NT AUTHORITY SYSTEM（エヌティー・オーソリティー・システム、Windowsで非常に強い操作権限）で不正な命令を実行されるおそれがあります。

メーカーが登録した公開CNA（シーエヌエー、脆弱性を登録する機関の情報）の評価はCritical（クリティカル、重大）。CVSS（シー・ブイ・エス・エス）の方式4.0では9.3、方式3.1では9.8です。方式が違う点数で、自社の被害確率ではありません。今回、実悪用は未確認で、18時以降に照合したCISAの既知悪用一覧にも登録はありません。未登録を安全の証明とは扱いません。

対象と、修正を分けて確認する。

影響するバージョン・条件

Windows上で稼働するSentinel Keys Serverの1.3.8.0未満が対象です。業務ソフト本体やドライバー・インストーラーの版番号を、部品の稼働版と取り違えないでください。別のSentinel LDK（エルディーケー）・RMS（アールエムエス）等や、Windows全体の問題へ広げません。接続できる範囲は、社外だけでなく社内も担当者が確認します。

修正版・更新先

公開CNAは最新の版への更新を推奨しています。1.3.8.0は対象範囲の境界で、いま配布されている最新版や、各業務ソフトに合うインストーラーを確認した数値ではありません。正規のソフト提供元・保守会社へ、互換性を確認した修正と手順を依頼してください。メーカー詳細KBは契約者の認証・製品の利用権限が必要で、今回、配布物・詳細手順・再起動条件は取得できていません。

あわせて知っておきたいこと

同じ製品の1.3.8.0未満には、別のCVE-2026-78402もあります。こちらは既に低い権限を持つローカルの攻撃者がSYSTEMへ昇格する条件で、メーカー評価はHigh（ハイ、高）7.3（方式4.0）・7.8（方式3.1）です。78403の認証なしの遠隔攻撃とは分けます。実悪用や2件を組み合わせた攻撃は今回未確認で、High単独の緊急ニュースとして扱いません。

確認日以降に、新しい修正や案内が出る場合があります。適用時は保守担当者が最新の公式情報と照合してください。

担当者と、何から進める？

1. 01

   使う部品と、責任者をそろえる

   業務ソフト名、保守窓口、正確なライセンス部品名、稼働中の版とWindows機を確認します。経営者が管理者権限で未知の命令を実行したり、名前の似たドライバーを入れたりする必要はありません。対応の確認を先延ばしにせず、提供元へ対象と優先順位を聞いてください。

2. 02

   接続範囲と、記録の扱いを決める

   対象HTTP（エイチティーティーピー、Web等の通信の方式）サービスへ、どの端末・ネットワークから接続できるかを専門担当が確認します。必要な接続制限、停止の要否、代替業務を責任者と判断します。不審な動きがある場合はログ（動作の記録）などの保全・調査を別に相談し、自己判断の削除や初期化を避けます。製品専用の侵害判定方法は今回未取得です。

3. 03

   正規の修正と、復旧できる準備を合わせる

   提供元が互換性を確認した更新と、設定・業務データ・ライセンス情報のバックアップ（控え）と復元方法を決めます。ライセンス関連ファイルをコピーするだけで戻せるとは限りません。本番とは別の環境で試せるか、停止・再起動、作業担当、工数・費用、再開条件と戻し方を合意します。

4. 04

   更新後は、実際の仕事が使えるかを確かめる

   部品の稼働版、業務ソフトの起動、正規利用者のライセンス認識、保存等の主要操作を確認します。複数端末を使う構成なら普段の利用も対象にします。不具合時に脆弱な旧版へ無条件に戻さず、接続範囲を含む代替策を提供元と相談。適用記録、未確認点と次の担当を残します。

保守会社に、このまま聞けます。

【業務ソフトとSentinel Keys Serverの確認依頼】 当社が利用する業務ソフトに、Windows版Sentinel Keys Serverが含まれるか確認してください。 1. 正確なライセンス部品名と、どのWindows機で何版が稼働しているか（driverやinstallerの版と区別） 2. CVE-2026-78403の対象判断と、その根拠 3. 対象HTTPサービスへ、社外・社内のどの範囲から接続できるか 4. 提供元が互換性を確認した修正の配布物と、業務ソフトへの対応条件 5. バックアップと復元方法、停止・再起動の要否、作業担当・工数・費用 6. 更新後の版確認、業務ソフト起動・ライセンス認識・保存など主要操作のテスト 7. 不具合時の戻し方、侵害を疑う場合の記録保全・調査担当と未完了事項 ※パスワード、ライセンスキー、顧客データ、メモリダンプなどの機密情報は、この確認依頼や一般の相談フォームへ添付しません。

停止時間・費用・戻し方まで含む確認文をコピーする →