グループ会社十数社にまたがりHashiCorp Vault Enterpriseの名前空間（Vault内でテナントごとにシークレットや権限を分離する区画）を部門・子会社単位で分離運用し、年次の内部監査対象になっているID・シークレット管理担当は、今回の脆弱性公表を後回しにすべきではない（ただしHashiCorpの推奨文言は、HCSEC-2026-26が「リスクを評価したうえで更新」、HCSEC-2026-27が「更新を検討」にとどまる）。1件は名前空間をまたぐentity削除、もう1件は版を問わないACL評価の穴で、対象はVaultのACL（アクセス制御リスト。誰が何にアクセスできるかを定義する仕組み）エンジンで、名前空間で権限を隔てるという前提を崩すもの（HCSEC-2026-27／CVE-2026-14886）と、名前空間の有無に関わらずACL評価をすり抜けるもの（HCSEC-2026-26／CVE-2026-12624）が同時に公表された。HashiCorpは2026年8月10日、HCSEC-2026-26とHCSEC-2026-27の2件のセキュリティ勧告を公開した[1][2]。前者はLIST要求の末尾スラッシュでワイルドカード拒否ルールをすり抜けエントリ名を列挙できる不具合、後者はidentity entity（Vaultが認証方法をまたいで利用者やアプリを紐づける内部的な実体）の一括削除エンドポイントで名前空間をまたぎ他テナントの実体を削除できる不具合である。両方とも修正済みだが、複数子会社の権限を1つのクラスタで分離運用している組織ほど、自社がどちらの修正ラインに達しているかの確認が複雑になる。本稿は、パッチ適用の緊急度とACL設計の再監査範囲を判断する材料を示す。
予備知識
- Vault Enterprise: HashiCorpのシークレット管理製品。無償版Vaultに加え、名前空間などマルチテナント機能を持つ有償版。
- 名前空間: Vault内でテナント（部門・子会社など）ごとにシークレットや権限を分離する区画。Enterprise限定機能。
- ACLポリシー: どのトークンがどのパスに対しread・list・deleteなど何の操作を許可・拒否されるかを定義するルール。
- identity entity: Vaultが認証方法をまたいで同一の利用者・アプリを紐づけて管理する内部的な実体。
Vaultのポリシーやシークレットエンジンの基本構造を確認でき、今回のACL関連不具合の位置づけを理解する助けになる。
HCSEC-2026-26: LIST要求の末尾スラッシュがワイルドカード拒否を回避する仕組み
HCSEC-2026-26は、Vault ACLポリシーエンジンのパス正規化に起因するLIST認可バイパスである[1]。悪用には条件があり、親パスへの広い許可(allow)ルールと、その配下の一部パスへのワイルドカード拒否(deny)ルールを同時に持つトークンでなければ影響を受けない[1]。このトークンが拒否対象パスの末尾にスラッシュを付けてLIST要求を送ると、ACLエンジンはパスを正規化してからプレフィックス照合を行うため、本来一致すべき狭い拒否ルールではなく広い許可ルールに一致してしまう[1]。結果としてエントリ名の列挙が許可される。漏えいするのはエントリ名の一覧のみで、シークレットの値やlist以外の操作権限には及ばない[1]。対象はVaultおよびVault Enterprise 2.0.2以前で、報告者はRedpath SecurityのMike Cole氏である[1]。
名前空間やACLに依存した権限分離の限界と、ID中心のアクセス制御をどう補強するかの考え方を確認できる。
HCSEC-2026-27: entity一括削除が名前空間の境界を越える仕組み
HCSEC-2026-27は、identity entityの一括削除(bulk-delete)エンドポイントにある認可バイパスである[2]。このエンドポイントは、削除対象entityをVaultのメモリ上identityデータベースから外すかどうかを判定する際、各entityの名前空間を確認していた[2]。ところが同じentityの実体を保持するストレージを削除する処理には、その名前空間チェックを適用していなかった[2]。ストレージは名前空間をまたいで共有され、entity IDのみで索引付けされているため、認証済みの利用者が他名前空間のentity IDを一括削除要求に含めれば、そのentityの実体データを削除できてしまう[2]。再起動やリロードを経ると復旧できない[2]。この機能自体がEnterprise限定の名前空間機能に依存するため、Community Edition(無償版)は影響を受けない[2]。報告者はHarish Kolla氏である[2]。
拠点間VPNや在宅勤務者のリモートアクセスVPNにCisco Secure Firewall ASA/FTDを使い、運用保守をSIerに委託している数百人から数万人規模の企業のネットワーク担当者は、今回の脆弱性への対応を後回しにできない。[…]
二つの脆弱性を比較する: 対象範囲と修正版のズレ
両者はどちらも2026年8月10日に公開され、Vault Enterpriseの名前空間分離という前提を突く点で共通するが、対象バージョンと悪用条件は異なる[1][2]。
| 項目 | HCSEC-2026-26 | HCSEC-2026-27 |
|---|---|---|
| CVE | CVE-2026-12624 | CVE-2026-14886 |
| 内容 | LIST要求の末尾スラッシュでワイルドカード拒否を回避 | entity一括削除が名前空間をまたいでストレージを削除 |
| 対象製品 | Vault / Vault Enterprise | Vault Enterpriseのみ |
| 対象バージョン | 2.0.2以前 | 2.0.0-2.0.3／1.21.5-1.21.8／1.20.10-1.20.13／1.19.16-1.19.19 |
| 修正版 | Vault 2.0.3、Enterprise 2.0.3/1.21.8/1.20.13/1.19.19 | Enterprise 2.0.4/1.21.9/1.20.14/1.19.20 |
| 悪用条件 | 広い許可＋狭いワイルドカード拒否を併せ持つトークン | batch-deleteエンドポイントへのアクセス権を持つ認証済みトークン（任意のトークンでは成立しない） |
| 影響 | エントリ名の列挙のみ | データの永続的削除 |
修正版のバージョン番号が2件で異なる点に注意が必要である。HCSEC-2026-26の修正はVault 2.0.3系で完結するが、HCSEC-2026-27はさらに1つ進んだ2.0.4系以降でなければ修正されていない[1][2]。2.0.3のみへ更新した場合、HCSEC-2026-26は解消してもHCSEC-2026-27は未解消のまま残る。2件を同時に扱う棚卸しでは、適用したバージョンがどちらの修正ラインに達しているかを個別に確認する必要がある。
複数の部門やチームでTerraform運用基盤を共有し、AIエージェントによるインフラ操作の実証を始めた数百〜数千人規模の企業では、インフラ担当とセキュリティ担当がこの脆弱性に直接向き合うことになる。個々の端末ではなく組織の共有ホスト単位[…]
複数子会社でVaultを共用する日本企業特有の運用ギャップ
部門・子会社ごとに名前空間を分けてVaultを共用する構成は、共有IT基盤の子会社が複数のグループ会社にサービス提供する体制を持つ日本企業で珍しくない。海外の単一法人運用と異なるのは、子会社ごとに稟議・予算系統が別立てで、名前空間ごとのACL設計が各社の予算承認プロセスに合わせて個別に組まれがちな点である。結果として、全社横断でACLポリシーを棚卸しする機会が年次監査のタイミングに限られやすい。運用自体もSIerへの委託を挟むため、脆弱性公表から実際のパッチ適用までに、対象範囲の特定・委託先への指示・作業枠の確保という工程が挟まる。グループ会社間でセキュリティ統制の温度差があると、名前空間の境界に頼った権限分離という前提が崩れた今回のような事案で、影響範囲の把握が遅れるリスクが大きい。IT部門の含意は、パッチ適用と合わせて名前空間ごとのACLポリシー棚卸しを緊急実施することである。決裁側の含意は、監査対応コストの増分と子会社への説明責任を早期に見積もることである。
まとめ
IT担当がまず行うのは、稼働中のVault/Vault Enterpriseのバージョン確認と、2件それぞれの修正版への到達有無の確認である。到達していなければ、Enterprise 2.0.4/1.21.9/1.20.14/1.19.20など該当ラインへのパッチ適用を優先し、あわせて名前空間ごとのACLポリシーで広い許可とワイルドカード拒否を併用している箇所を洗い出す。決裁側は、複数子会社の権限を1つのクラスタで分離運用してきた経緯自体が監査で問われうることを踏まえ、監査報告での説明資料と対応記録を早めに準備する。名前空間による分離は万能ではなく、境界の実装不具合は今後も見つかりうる前提で、定期的なACL設計の再点検を運用に組み込むことが次善の対策になる。
よくある質問（FAQ）
Q1. 自社がCommunity Edition(無償版)のみの利用ならHCSEC-2026-27は関係ないですか。
A. 関係ない。HCSEC-2026-27は名前空間機能に依存する不具合で、名前空間を持たないCommunity Editionは対象外である[2]。ただしHCSEC-2026-26はCommunity Editionも対象なので、Vault 2.0.3への更新は別途必要である[1]。
Q2. Vault Enterprise 2.0.3に上げれば両方解消しますか。
A. 解消しない。HCSEC-2026-26は2.0.3で修正されるが、HCSEC-2026-27の修正は2.0.4以降である[1][2]。2件を同時に扱う場合は2.0.4系以降への到達を確認する。
Q3. 名前空間を使っていない構成でも確認は必要ですか。
A. HashiCorpが明確に「対象外」としているのはCommunity Editionだけで、Enterpriseについては名前空間の利用有無で対象を切っていない。子名前空間を作っていなければHCSEC-2026-27の実害は想定しにくいが、版が該当する限り更新対象である。加えて、HCSEC-2026-26はACLに広い許可とワイルドカード拒否を併用していれば名前空間の有無に関わらず影響を受けうる[1]。
