Telerik UIの暗号処理と型解決の欠陥を突くRCE攻撃手法が公開、特定の設定環境で影響
要点
- セキュリティ企業のTantoSecが、ASP.NET AJAX向けUIライブラリ「Telerik UI」の脆弱性を連鎖させてリモートコード実行（RCE）を可能にする実証コードと攻撃ツールを公開した。
- 攻撃は暗号化の不備を突くパディングオラクルと型解決の脆弱性を組み合わせることで、認証なしでサーバー上のコード実行を可能にする。
- 悪用には特定の設定（明示的なカスタム暗号化キーの指定など）が必要であり、デフォルト構成の環境では成立しない。
- 開発元のProgress Softwareは2026年7月に対策版をリリース済みであり、現時点で実環境における悪用被害は確認されていない。
2026年9月7日、セキュリティ企業のTantoSecは、Webアプリケーション向けUIコンポーネント群「Telerik UI for ASP.NET AJAX」に存在する複数の脆弱性を連携させ、認証なしでリモートコード実行（ネットワーク経由で対象サーバーに任意のプログラムを実行させる攻撃）に至るエクスプロイトチェーンの詳細と攻撃ツールを公開した。
対象となる脆弱性自体は、開発元のProgress Softwareが2026年7月に修正パッチをリリース済みであるものの、詳細な解説とともに即座に実行可能なツールとペイロードが公表されたことで、改めて対策の確認が求められている。
脆弱性の概要と影響を受けるバージョン
今回公開された攻撃手法は、ファイルアップロード用コントロールである「RadAsyncUpload」の処理ロジックに存在する複数の欠陥を組み合わせたものだ。影響を受けるのはバージョン「2010.1.309」から「2026.2.519」までであり、Progress Softwareが2026年7月8日にリリースした「2026.2.708（2026 Q2 SP1）」以降で修正されている。同社は7月22日にCVE番号とセキュリティアドバイザリを公開していた。
一連のチェーンの中で最も深刻度が高いとされるのが、適切な検証を行わずに型情報を解決してしまう欠陥（CVE-2026-13181）である。本脆弱性の共通脆弱性評価システム（CVSS）のスコアは8.1（High）と評価されている。CVSSにおける攻撃複雑さ（Attack Complexity）が「High」と判定されている理由は、攻撃成立に特定のシステム構成が必要となるためであり、条件が満たされた環境下での攻撃自体の難易度が高いわけではないという。
攻撃成立に求められる前提条件
TantoSecの報告によると、影響を受けるバージョンを稼働させているだけでは攻撃は成立せず、デフォルトのインストール状態では満たされない前提条件が存在する。
具体的には、以下の2つの条件が揃っている必要がある。
- 対象のWebページがRadAsyncUploadコントロールを描画し、サーバー側のハンドラがアップロード結果を読み取っていること。
- アプリケーション側で、同コントロールに対してデフォルト値ではない明示的な暗号化キーが設定されていること。
なお、この暗号化キーの明示的な設定は、皮肉にもTelerik公式がセキュリティ強化策（ハーデニング）として推奨していた設定項目であった。これらの条件を満たさない環境では、本チェーンを用いた攻撃は実行できないと説明されている。
エクスプロイトチェーンの仕組みと公開されたツール
前提条件が満たされた環境では、攻撃者はIIS（インターネットインフォメーションサービス）のアプリケーションプール権限で任意のコードを実行できる状態となる。
攻撃の起点となるのは、暗号処理に関する脆弱性（CVE-2026-13182）だ。RadAsyncUploadはクライアント側の状態管理にデータの完全性検証を伴わないAES-CBC暗号化を採用している。そのため、改ざんされた暗号データを受信した際、復号後のパディング（暗号化ブロックのサイズを揃えるための埋め草データ）が正常か、それともJSONの構文解析で失敗したかによってサーバーの応答に差異が生じる。この仕組みを悪用する「パディングオラクル攻撃」により、攻撃者は本来知り得ない暗号化キーを推測することなく、固定のシード値をもとに暗号化されたアップロード設定を復号・偽造することが可能になる。エラーメッセージが表示されない環境であっても、応答時間のわずかな違いを測定するタイミング攻撃（CVE-2026-13183）によって同様の推測が可能とされる。
設定データの偽造に成功した攻撃者は、ホワイトリスト制限のない型解決の不備（CVE-2026-13181）を利用して任意の.NET型を指定し、自身が制御する場所からDLLファイルを読み込ませるガジェットへとデシリアライズさせる。読み込まれるDLLは混合モードアセンブリであり、ロードと同時にネイティブコードを実行する仕組みとなっている。
TantoSecの検証者であるMarcio Almeida氏は、この攻撃を自動化するコマンドラインツール「telerik-rau-exploit」と、Webシェル（サーバーを遠隔操作するための不正プログラム）をディスクに書き込むペイロード、およびメモリ上のみで実行されるペイロードの2種類を公開した。なお、この攻撃は即座に完了するものではなく、実験環境では約12万7,000回のオラクルリクエストと約1時間の所要時間を要し、レート制限があるサーバーではさらに時間を要するという。
実環境での脅威状況と過去の背景
2026年9月7日の公表時点で、本脆弱性が実際のサイバー攻撃（In the wild）で悪用されたという確証のある報告は確認されていない。また、米サイバーセキュリティ・社会基盤安全保障庁（CISA）が管理する「悪用が確認された脆弱性カタログ（KEV）」にも登録されていない。
攻撃対象領域管理（ASM）を手がけるIONIX社は「悪用の試みを追跡中」と自社サイトに掲載しているが、検知された日時や規模などの詳細は明らかにされておらず、通常のインターネットスキャンと実際の悪用試行の区別も示されていない。
今回公開された手法が強い関心を集めている背景には、該当コンポーネントが過去に重大な攻撃インシデントの標的となってきた経緯がある。2019年に判明した同ハンドラのデシリアライズ脆弱性（CVE-2019-18935）は、過去の暗号化の弱点と組み合わされ、ランサムウェア組織や国家支援のサイバー攻撃グループによって広く悪用された。2022年には米国の連邦政府機関における侵入被害の原因となったほか、2025年に入っても悪用が確認されていた。
なお、Progress Softwareが7月に公開したセキュリティアドバイザリには、今回取り上げられたRadAsyncUploadに関するチェーンのほかに、RadPersistenceManagerおよびRadDockLayoutコンポーネントにおける別のリモートコード実行チェーン（CVE-2026-13185、CVE-2026-13186、CVE-2026-13190：CODE WHITEのMarkus Wulftange氏および同社が報告）も含まれているが、こちらについての公開エクスプロイトは現時点で存在していない。