Progress、ShareFile Storage Zones Controllerの緊急停止を顧客に要請 — 「credible external security threat」の詳細は非公表

2026年7月10日、Progress SoftwareがShareFile Storage Zones Controllerを利用する顧客に対し、該当サーバーを直ちに手動でシャットダウンするよう要請しました。同社は理由として「credible external security threat」(信頼に足る外部セキュリティ脅威)を検知したと説明していますが、脅威の具体的な内容、新たなCVE番号、ゼロデイ脆弱性の有無は記事執筆時点で公表されていません。ProgressはShareFileのアカウントやデータへの不正アクセスを示す兆候は確認していないとしていますが、Storage Zones Controller自体の侵害有無については明らかにしていません。同社はStorage Zones Controllerを利用するアカウントへのクラウド側アクセスを一時無効化する措置と併せて、Windowsサーバーのシャットダウンを「critical additional step」として指示しています。

パッチや設定変更ではなく完全停止を要請するという判断は、記事執筆時点で顧客が適用できる十分な緩和策が提示されていないことを示しています。Progressは2026年3月10日に、CVE-2026-2699およびCVE-2026-2701を修正したStorage Zones Controller 5.12.4をリリースしています。ただし、今回の脅威と4月に公表されたこれら2件の脆弱性との関連性については明らかにされていません。2023年のMOVEit Transferゼロデイ悪用事案以降、マネージドファイルトランスファー(Managed File Transfer、MFT)およびファイル共有製品を狙う攻撃圧力が継続する中、実務者は状況を注視する必要があります。

事案の全体像

Storage Zones Controllerとは何か

ShareFileはProgress Softwareが提供する企業向けのセキュアなファイル共有・コラボレーションプラットフォームです。基本的な利用形態はProgressのクラウド基盤(SaaS)にファイルをホストするモデルですが、企業のデータ主権要件、規制要件、あるいはセキュリティポリシー上の理由から、ファイル本体を自社インフラ内に保持したい顧客向けに、Storage Zones Controllerという顧客管理型のWindowsコンポーネントが提供されています。

ハイブリッド展開では、認証・ユーザー管理・共有・コラボレーションの機能をShareFileクラウドが担当し、ファイル本体の格納・取り出しは顧客が運用するWindowsサーバー上のStorage Zones Controllerが担当します。ファイルの保存先には、顧客管理のオンプレミスネットワーク共有や、Amazon S3、Azure Blob Storageなどの対応する第三者クラウドストレージを選択できます。ユーザーがファイルをアップロードまたはダウンロードする際、ShareFileクラウドが該当ユーザーのZoneを特定し、Storage Zones Controllerに処理をリダイレクトする仕組みです。

標準ゾーンでは、Storage Zones ControllerがShareFileクラウドからの着信接続を受けるため、インターネットから到達可能なFQDNとHTTPS通信が必要です。ProgressはControllerを内部ネットワークに配置し、DMZプロキシやApplication Delivery Controllerで保護する構成も案内しています。watchTowr Labsは、インターネット検索サービスの結果から約3万件のStorage Zones Controllerインスタンスを確認したとしています。ShareFileは金融、医療、法律など機密性の高い文書を扱う業種でも利用されており、Storage Zones Controllerの環境に機微データが保存されている可能性があります。

Progressからの緊急通知の内容

Progressは2026年7月10日、Storage Zones Controllerを利用する顧客にメールで緊急通知を送付しました。件名は「Service Disruption. Immediate Action Required.」で、BleepingComputerが入手した内容によると、主要な文言は以下の通りです。

• 脅威検知の通知：「We have reason to believe there is a credible external security threat targeting Progress Software’s ShareFile Storage Zone Controllers」— Progressは具体的な脅威の内容、攻撃元、悪用手口を公表していません
• 侵害状況の通知：「Currently, we have no indication of unauthorized access to any Progress ShareFile accounts or data」— 「no indication」という文言は、断定的に「侵害なし」を意味するのではなく、「現時点で不正アクセスの兆候は観測されていない」という限定的な表現です
• アクセス無効化：「As a precaution, we have temporarily disabled access to ShareFile accounts using the Storage Zone Controllers, including yours」— 顧客側の操作を待たず、Progress側でクラウド経由のアクセスを一斉に遮断済み
• シャットダウンの要求：「You must manually shut down the server hosting your Storage Zone Controllers. This is a critical additional step to ensure the safety of your data」— クラウド経由のアクセス無効化に加え、Progressは「critical additional step」として、Storage Zones Controllerをホストするサーバーの停止を求めています
• 調査体制：Progressは内部および外部のセキュリティ専門家と連携して調査中であり、対応は「abundance of caution」(念には念を入れた予防措置)に基づくと述べています
• 更新の予定：顧客に対し、通知から24時間以内に追加情報を提供するとしています

Progressの公式ステータスページ(status.sharefile.com)も同日EDT 12:12に「ShareFile customers with Storage Zone Controllers are not operational at this time」を掲載し、ステータスを「Investigating」に設定しました。記事執筆時点でこのインシデントは未解決のままです。

シャットダウン要請から読み取れる範囲

ベンダーが脆弱性発覚時に取る対応は、通常はパッチ適用の指示、設定変更や回避策の提示、そしてサービス停止の指示のいずれかです。Progressが今回選択したのは3番目の措置で、Progressがパッチや回避策ではなくシャットダウンを求めたことから、少なくとも記事執筆時点では、顧客が適用できる十分な緩和策が提示されていないと考えられます。その背景として、未修正の問題や、パッチだけでは対処できない性質の脅威などが想定されますが、Progressは理由を公表していません。

The Hacker Newsの分析でも、想定されるシナリオとして未修正の脆弱性(ゼロデイ)、認証情報や鍵の漏洩、Progress側インフラの問題などの可能性が挙げられていますが、いずれもProgressが確認・認めた情報ではありません。同社が「no indication of unauthorized access」と述べている点についても、これは「Progressの観測範囲では現時点で不正アクセスの兆候が確認されていない」という限定的な意味であり、顧客管理のStorage Zones Controllerで個別に侵害が発生している可能性まで否定するものではありません。Storage Zones Controllerは顧客管理型であるため、Progressの表明だけでは、各顧客環境の侵害有無まで判断することはできません。

関連する背景 — CVE-2026-2699およびCVE-2026-2701 (2026年4月開示)

今回の緊急対応との直接的な関連性はProgressが明らかにしていませんが、関連する背景として注目されるのが、2026年4月2日にwatchTowr Labsが公表したPre-Auth RCEチェーンです。

CVE-2026-2699: Execution After Redirectによる認証バイパス

Storage Zones Controller 5.xの管理エンドポイント/ConfigService/Admin.aspxにおいて、未認証ユーザーがアクセスした際にログインページへリダイレクトする処理は正常に動作します。しかし、リダイレクト後もページの残りの処理が継続実行されるという実装の問題がありました。

public void RedirectAndCompleteRequest(HttpContextBase httpContext, string redirectPath)
{
    httpContext.Response.Redirect(redirectPath, false); // 第2引数がfalse
    HttpApplication applicationInstance = httpContext.ApplicationInstance;
    if (applicationInstance == null)
    {
        return;
    }
    applicationInstance.CompleteRequest();
}

MicrosoftのHttpResponse.Redirectメソッドは第2引数のブール値で「現在のページ実行を終了するか」を制御します。falseを渡すと、302リダイレクトのレスポンスヘッダーは正常に送信される一方、ページの残りの処理が最後まで実行されます。その結果、302応答の本文に管理画面のHTMLが含まれ、未認証のまま管理機能へアクセスできる状態になります。watchTowrは、ブラウザ上で確認する際にLocationヘッダーを除去し、管理画面が描画されることを実証しました。この脆弱性クラスはCWE-698 (Execution After Redirect)として整理されており、Progress CNAはCVSS 9.8を付与しています。

CVE-2026-2701: 悪意ファイル展開によるRCE

認証バイパスで管理パネルにアクセスした攻撃者は、Zone設定を変更できます。特に重要なのが「Network Share Location」パラメータで、本来はSMB共有へのUNCパスを指定するフィールドですが、実装は指定されたパスに書き込み可能かどうかを検証するだけで、パスの種別を制限しません。攻撃者はこれをC:\inetpub\wwwroot\ShareFile\StorageCenter\documentumのようなIIS webroot配下のディレクトリに変更できます。

次に/StorageCenter/Upload.aspxエンドポイントに対してunzip=trueパラメータ付きでZIPファイルをアップロードすると、ZIP内のファイルがNetwork Share Locationに指定したwebrootに展開されます。この展開処理では通常のアップロードで行われるファイル名のランダム化と拡張子除去が省略されるため、ASPXファイルをそのままの拡張子で配置できます。webrootに配置されたASPXファイルはIIS経由でアクセス可能となり、そこから任意のコード実行が成立します。実際の悪用にはZone Passphraseを用いたHMAC署名の計算など複数のステップが必要ですが、認証バイパスによってPassphraseを任意の値に書き換え可能なため、この暗号化障壁は事実上迂回できます。ProgressはCVSS 9.1と評価しており、NVDは8.8と評価しています。

修正状況と今回の事案との切り分け

Progressは2026年3月10日にStorage Zones Controller 5.12.4をリリースしてこれらの脆弱性を修正しました。6.x系は、当該2件の脆弱性の影響を受けません。watchTowr Labsは4月2日に技術詳細を公表し、Progressは4月6日に公式アドバイザリをdocs.sharefile.comで公開しています。

Storage Zones Controllerでは2026年に2件の重大な脆弱性が公表され、今回も外部セキュリティ脅威への対応が行われています。ただし、4月公表のCVE-2026-2699およびCVE-2026-2701が悪用されたとの報告はなく、今回の事案との直接的な関連も確認されていません。4月の脆弱性は製品の攻撃面を理解する背景情報として有用ですが、今回の事案とは切り分けて扱う必要があります。

ShareFileとMFT・ファイル共有製品をめぐる過去のセキュリティ事例

今回の事案は、ShareFile製品単体で見ても、MFTカテゴリ全体で見ても、単発の出来事ではありません。過去数年の主要事例を時系列で整理すると以下のようになります。

• 2023年5月：Progress MOVEit TransferのゼロデイCVE-2023-34362がClop恐喝グループに悪用され、2,700以上の組織に影響する大規模なデータ窃取・恐喝事案が発生。MFT製品が、攻撃者にとって価値の高い標的であることを改めて示しました
• 2023年8月：ShareFile Storage Zones ControllerのCVE-2023-24489 (当時はCitrix管理下)が活発に悪用され、CISA KEVに登録される事案が発生。当時のCitrixは未パッチのStorage Zones ControllerをShareFileクラウド側から遮断する対応を取りました。今回もクラウド側のアクセス無効化が行われ、さらにWindowsサーバーの手動停止が要請されています
• 2024年10月31日：Progress SoftwareがCloud Software Group傘下から約8億7,500万ドルでShareFileの買収を完了。この時点からShareFileの脆弱性対応はProgressが担うことになりました
• 2026年3月〜4月：Progressが3月10日に5.12.4を公開し、watchTowr Labsが4月2日にCVE-2026-2699とCVE-2026-2701の技術詳細を公表。Progressは4月6日に公式アドバイザリを公開
• 2026年7月：今回の緊急シャットダウン要請

MFT・ファイル共有製品は、インターネットに公開されたエッジで機微データを扱うという構造上、攻撃者にとって高価値の標的であり続けます。ProgressのMOVEitに加え、Fortra GoAnywhere (CVE-2023-0669)、Cleo Harmony/VLTrader/LexiCom (CVE-2024-50623)なども同カテゴリで大規模な悪用事案が発生しています。

実務者への推奨対応

Progressの公式指示および過去脆弱性の履歴を踏まえた、実務者向けの推奨対応を以下に整理します。

• 即時対応：Storage Zones Controllerのシャットダウン：Progressの指示通り、Storage Zones ControllerをホストするWindowsサーバーを手動で停止します。ShareFileクラウド側のアクセス停止に加え、サーバーを停止させることで、Progressが「critical additional step」と表現した対応が完了します
• バージョン確認：過去の2件の脆弱性への対策として、5.xは5.12.4以降、または6.xへ更新済みかを確認します。ただし、今回の停止指示にはバージョンによる例外が示されていないため、修正版を利用している場合もProgressの停止指示に従います
• ログ保全：IISログ、アプリケーションログ、Windowsイベントログを保全します。Progressから追加の指示や侵害指標(IoC)が提供された際に、遡って調査するための基盤となります
• 過去脆弱性への露出確認 (参考)：以下は今回の事案に固有のIoCではありません。CVE-2026-2699について、watchTowrは/ConfigService/Admin.aspxへアクセスし、HTTP 302応答の本文が10,000文字を超えるかを確認するDetection Artifact Generatorを公開しています。ただし、これは脆弱性の有無を確認するための能動的な検査であり、侵害を示す痕跡ではありません。まず製品バージョンを確認し、5.12.3以前であれば、Progressの指示に従って5.12.4以降または6.xへ更新します。Progressが安全な再稼働を案内するまでは、検査を目的として本番サーバーを再接続しないでください。能動的な検査は、取得済みの複製環境や隔離された検証環境で、組織の承認を得たうえで実施します
• 既知脆弱性に関する痕跡調査：インターネットから到達可能だった履歴のある環境では、IISアクセスログで/ConfigService/Admin.aspxや/StorageCenter/Upload.aspxへの不審なアクセスがないかを確認し、C:\inetpub\wwwroot\ShareFile\StorageCenter\配下や、過去に指定したNetwork Share Location配下に、身に覚えのない.aspxファイルが存在しないかを調査します
• Passphraseと資格情報のローテーション：Progressから安全な再稼働条件が案内された後、Storage Zones Controllerを再稼働させる前に、Zone Passphraseと管理者資格情報のローテーションを検討します。インターネットから到達可能だった履歴のある環境では、潜在的なインシデントとしてログ保全と調査を開始することを検討します
• Progressからの追加通知の監視：Progressは通知から24時間以内に追加情報を提供するとしているため、公式ステータスページ(status.sharefile.com)と顧客宛のメール通知を継続的に確認します。CVE割当や修正版のリリースが今後発表される場合、その情報が最速で提供される経路となります
• コンプライアンス評価：Storage Zones Controllerが保管していた情報の種別を洗い出し、適用される法令、契約、業界規制に基づき、法務・コンプライアンス部門と通知要否を評価します。現時点では侵害は確認されていないため、通知判断は各組織の要件に従う必要があります

本事案が示唆すること

Progressがパッチ適用ではなく完全な運用停止を要請したことは、同社がこの脅威を高い優先度で扱い、強い予防措置を取っていることを示しています。MFT・ファイル共有製品は、インターネットに公開されたエッジで機微データを扱うという構造上、攻撃者にとって高価値の標的であり続けます。

実務者に求められるのは、Progressからの公式情報を注視しつつ、シャットダウン措置を速やかに実施し、インターネットから到達可能だった履歴を確認し、該当する環境では調査を開始することです。「no indication of unauthorized access」という表明だけで、自組織の環境が侵害されていないと判断せず、Storage Zones Controllerを運用してきた組織は、自らの環境に対する調査をProgressの調査と並行して進める必要があります。

一次情報・公式情報

• ShareFile Status Page – Incident: ShareFile customers with Storage Zone Controllers are not operational at this time.
• Progress ShareFile – Security Vulnerability Fix For ShareFile Storage Zones Controller 5.x (February 2026)
• watchTowr Labs – You’re Not Supposed To ShareFile With Everyone (Progress ShareFile Pre-Auth RCE Chain CVE-2026-2699 & CVE-2026-2701)
• Progress Software – Progress Completes Acquisition of ShareFile (October 31, 2024)
• NVD – CVE-2026-2699 Detail
• NVD – CVE-2026-2701 Detail (NVD CVSS 8.8評価を含む)
• CVE Record – CVE-2026-2699
• CVE Record – CVE-2026-2701

参考情報

• BleepingComputer – Progress urges ShareFile admins to shut down servers over “credible” threat
• The Hacker News – URGENT – Progress Tells ShareFile Customers to Shut Down Storage Zone Controllers Over Security Threat

slug: progress-sharefile-storage-zones-controller-emergency-shutdown