HashiCorp Consulのサービスメッシュ登録処理で権限を回避できるCVE-2026-105608（CVSS 8.8）。service write権限からmesh write権限が必要な設定操作に及ぶ条件と修正版を解説。
30秒でわかる / THE SIGNAL
Consulのサービスメッシュ登録時の権限検証に不備があり、service write権限を持つ利用者がmesh write権限なしでEnvoy関連設定を変更できる恐れがある。修正版への更新とACL点検が重要だ。
何が公表されたか
HashiCorpは2026年10月26日、HCSEC-2026-47でConsulのサービスメッシュ登録処理における権限回避（CVE-2026-105608、CVSS v3.1 8.8）を公表した。service write権限を持つ主体が、本来必要なmesh write権限なしにEnvoy関連設定を変更できる恐れがある。一次情報：https://discuss.hashicorp.com/t/hcsec-2026-47-consul-vulnerable-to-an-authorization-bypass-in-service-mesh-registration/77912
成立条件と想定される影響
ACLが有効で、service write権限を持つ一方でmesh write権限は付与されていない主体が存在する構成が問題となる。権限境界を越えたサービスメッシュ設定の変更により、通信の参照・改変やセキュリティ制御の回避につながる恐れがある。すべてのConsul環境で無認証の遠隔攻撃が成立するという意味ではない。
影響バージョンと修正版
開発元が影響版として明示したのはConsul Community 2.0.4、Consul Enterprise 2.0.4・1.22.12・1.21.18。修正版はCommunity 2.1.0、Enterprise 2.1.0または1.21.19。運用している系列とエディションごとに開発元の勧告とリリース情報を確認する。
管理者の推奨対応
該当系列を修正版へ更新し、service write・mesh write権限を持つトークンとACLポリシーを棚卸しする。Envoy設定、サービスメッシュ登録の変更履歴、監査ログを点検し、不審な設定変更がないか確認する。
悪用状況と編集部の視点
2026年10月27日時点で確認した一次情報から、実環境での悪用が確認されたとは断定できない。既報のConsul脆弱性とは別のCVEであり、サービスメッシュの権限分離という観点から独立して把握する価値がある。