Perforce Software, Inc.

「P4 Authentication Service」（旧 Helix Authentication Service）において、重大なセキュリティ上の脆弱性が確認されました。

脆弱性の概要

「P4 Authentication Service」（以下、「P4AS」）において、SCIM API用のbearer token（認証トークン）を初期設定のまま使用している場合、当該APIに第三者による不正アクセスが可能となる脆弱性が確認されました。

本脆弱性が悪用された場合、ユーザーやグループ情報が不正に操作されるおそれがあります。また、特定の条件下では、別の脆弱性と組み合わせることで、サービス停止やリモートコード実行につながる可能性があります。

特に、インターネットからSCIM APIにアクセス可能な環境では、リスクが高くなります。

なお、Perforce社から提供された情報では、本脆弱性が悪用された事実は確認されていません。

対象製品・バージョン

本脆弱性は「P4AS」に関するものであり、「P4AS」を使用していない環境は対象外です。

必要な対応

「P4AS」をご利用の場合は、以下の対応を行ってください。

1．ご利用バージョンの確認

現在、ご利用中の「P4AS」のバージョンが、対象範囲（2022.1～2025.2）に該当するかを確認してください。

2．認証トークンの設定確認・変更

SCIM API用のbearer tokenが初期設定値のままになっていないかを確認してください。
初期設定を使用している場合は、直ちに固有のトークンへ変更してください。

3．「P4AS」のアップグレード

「P4AS」を2026.1以降へアップグレードしてください。
初期設定のトークンを使用していない場合も、「P4AS」2026.1以降へのアップグレードを推奨します。
なお、アップグレード後もSCIM API用のbearer tokenが固有の値に設定されていることを確認してください。

P4 Server（P4D）との互換性について

「P4AS」と「P4 Server（P4D）」の連携には、「P4 Authentication Extension（認証拡張機能）」を使用します。
「P4 Authentication Extension」を利用するために必要な「P4D」の最低バージョンは、以下のとおりです。

アップグレードまでの暫定的な対策について

「P4AS」2026.1以降へのアップグレードを直ちに実施できない場合は、以下の対策をご検討ください。

認証トークンの変更

初期設定のbearer tokenを使用している場合は、十分な強度をもつランダムな固有のトークンへ変更してください。

SCIM APIへのアクセス制限

SCIM APIへのアクセスを、連携先システムなど必要な接続元のみに制限してください。
SCIM APIを使用していない場合は、外部からのアクセスを遮断することもご検討ください。

アクセスログおよび設定の確認

SCIM APIへの不審なアクセスや、ユーザー・グループ情報への意図しない変更がないかを確認してください。
なお、認証トークンの変更に伴い、SCIM連携先システムの設定変更が必要になる場合がありますので、ご注意ください。

関連情報

本脆弱性および対応方法の詳細については、以下の公式情報をご参照ください。

• Perforce Trust Center
• 「P4 Authentication Service」リリースノート
• CVE-2026-109758（脆弱性情報）
• P4 Authentication Extension（動作要件）

なお、本件についてはPerforce Trust Centerにも告知が掲載されており、Perforce社からも「P4」をご利用のお客様へ順次メールによる案内が行われています。

お問い合わせについて

本脆弱性に関する技術的なご質問や、設定・アップグレード方法についてご不明な点がございましたら、当社テクニカルサポートまでお問い合わせください。
また、当社サポートポータルからもお問い合わせいただけます。

サポートポータルの「お問い合わせフォーム」より「使い方・不具合」を選択してお問い合わせください。

TOYO DEVELOPER PORTAL - サポート

お問い合わせ先

株式会社東陽テクニカ
ソフトウェア・ソリューション部 テクニカルサポート

TEL：03-3245-1248（直通）
E-mail：ss_support@toyo.co.jp