Craft CMS 4系・5系の一部に、低権限の管理画面ユーザーがTwigの制限を回避し、securityKeyの推測やコード実行につなげられる脆弱性CVE-2026-115938。修正版と確認事項を整理する。
30秒でわかる / THE SIGNAL
Craft CMS 4.0.0以上4.18.9未満、5.0.0以上5.11.2未満にHIGHの脆弱性。管理画面へログインできる低権限ユーザーがテンプレート処理の制限を回避し、秘密鍵の推測やコード実行につなげる可能性がある。4.18.9／5.11.2へ更新を。
管理画面に入れる人なら、安全とは限らない
Craft CMSで、管理画面にログインできる低権限ユーザーによる権限境界の突破につながる脆弱性CVE-2026-115938が公表された。問題は、コンテンツ検索条件の評価に用いるTwigテンプレートの制限を、特定のフィルター処理を通じて回避できる点にある。攻撃者はアカウントを必要とするため、ログイン不要の脆弱性ではない。
公式勧告：https://github.com/craftcms/cms/security/advisories/GHSA-v4q3-2g5g-wjj6
何が起きるのか
本来、制限付きのTwigテンプレートではアクセスできないプロパティなどを参照できることで、Craft CMSのsecurityKeyを推測する手掛かりが得られる可能性がある。鍵を取得できると、署名付きパラメーターの偽造を通じ、制限されていないテンプレート処理を悪用してコード実行へつながるおそれがある。
公表された技術説明にはコード実行につながる経路が示されているが、公開された実証でOSコマンドの実行が確認されたと断定すべきではない。脆弱性の存在と実際の攻撃事例は分けて扱う。
影響範囲と修正版
影響するのはCraft CMS 4.0.0以上4.18.9未満、および5.0.0以上5.11.2未満。修正版は4.18.9と5.11.2。深刻度はHIGHで、公開CVE情報ではCVSS 3.1が8.8、CVSS 4.0が8.7と評価されている。
サイト運営者が確認したいこと
Craft CMSの利用有無と稼働バージョンを確認し、影響範囲なら保守担当者と更新を進める。管理画面へのアクセス権を持つユーザーを棚卸しし、不要な権限や退職者のアカウントを見直す。侵害の疑いがある場合は、証跡保全と影響調査を優先し、秘密鍵のローテーションが必要か運用担当者と検討する。
本稿執筆時点で、公式情報から実際の攻撃での悪用が確認されたとは断定できない。
WORK SIGNALの視点｜『ログインできる』と『何でもできる』は違う
企業サイトでは、編集者、制作会社、外部パートナーなど複数の人が管理画面を使うことがある。今回の問題は、低権限アカウントでも内部処理の欠陥を突かれると被害が拡大し得ることを示す。ソフトウェア更新に加えて、最小権限の徹底と管理アカウントの棚卸しが欠かせない。