GNU WgetにSSRF脆弱性、連携システムも要注意
- GNU WgetにSSRF脆弱性(CVE-2026-15146)が発覚、CERT/CCが注意喚起
- FTPパッシブモードのPASV応答検証不備で任意IP/ポートへの接続が可能
- 他プログラムと連携利用されることが多く、影響範囲の確認が必要
AIセキュリティとの関連: AIエージェントやRAG基盤は、外部ファイル取得の手段としてWgetのようなコマンドラインツールを内部で利用している場合があります。今回のSSRFが悪用されると、AI基盤から社内ネットワークやクラウドのメタデータサービスへ不正にアクセスされる経路になり得るため掲載しています。
一次情報(CERT/CC・GNU Projectの発表)は本文中で言及していますが、直接確認できたリンクは以下の報道のみです。詳細は各公式発表を別途ご確認ください。
何が起きたか
CERT/CCは2026年7月10日、GNU WgetのSSRF（サーバサイドリクエストフォージェリ）脆弱性CVE-2026-15146についてセキュリティアドバイザリを公開した。GNU Wgetは、HTTP・HTTPS・FTPなどを通じてファイルを取得できるコマンドラインツールで、Linux環境を中心に広く利用されているほか、外部データ取得のために他プログラムから呼び出されるケースも多い。今回判明した脆弱性は、FTPのパッシブモード通信においてサーバから返されるPASV応答の内容（接続先IPアドレス）を適切に検証していないというもの。悪意あるFTPサーバや、FTP URLへリダイレクトするよう仕組んだHTTPサーバを用意することで、攻撃者はWgetを任意のIPアドレス・ポートへ接続させることが可能となる。これにより、本来アクセスされるべきでないローカルホスト上のサービスや内部ネットワークのリソースへ、意図せずアクセスが行われるおそれがある。修正版の提供状況など詳細は原典（CERT/CC・GNU Projectの発表）を参照されたい。
誰に・どう影響するか
中小企業では、監視カメラやIoT機器の管理、社内スクリプトによる自動ダウンロード処理などにWgetが組み込まれているケースが少なくない。専任のセキュリティ担当者がいない環境では、Wgetがどこでどのように利用されているか把握できていないことも多く、内部ネットワークの構成情報がSSRF経由で外部に漏れるリスクがある。大企業では、CI/CDパイプラインやバッチ処理、コンテナイメージのビルドスクリプトなど、多数のシステムにWgetが組み込まれている可能性があり、影響範囲の洗い出しに時間を要する点が課題となる。特にクラウド環境ではメタデータサービス（内部管理用エンドポイント）への不正アクセスにつながる懸念もあり、SSRF全般への対策強化とあわせた点検が望まれる。
今すぐやるべきアクション
- 利用中のWgetのバージョンを確認し、修正版の有無をGNU Project公式サイトで確認する
- 社内システムやスクリプト、連携ツールでWgetが使用されている箇所を棚卸しする
- 外部から取得したFTP/HTTP応答を信頼せず、ネットワーク境界でのアウトバウンド接続制限（内部リソースへの不要なアクセス遮断）を検討する
- 修正版が未提供の場合は、FTP経由でのファイル取得を一時的に制限するなどの緩和策を講じる
- CERT/CCおよびディストリビューションベンダーからの続報を注視する
重大度の判定理由
重大度「高」: 内部ネットワークへの到達可能性はネットワーク構成に依存し、影響し得る範囲が広い一方、本記事作成時点で実際の悪用は確認されていません。攻撃条件（悪意あるサーバへの接続が必要)と影響範囲の広さを踏まえ、本メディアでは「高」と判定しています。