Kener 3.0.0以上4.1.10未満で秘密鍵が未設定の場合、固定のフォールバック鍵によってセッショントークンを偽造できる脆弱性（CVE-2026-116747、CVSS 9.2）。
30秒でわかる / THE SIGNAL
Kener 3.0.0以上4.1.10未満で秘密鍵が未設定の場合、固定のフォールバック鍵によってセッショントークンを偽造できる脆弱性（CVE-2026-116747、CVSS 9.2）。
何が公表されたか
Kener 3.0.0以上4.1.10未満には、KENER_SECRET_KEYが未設定または空の際に固定のDUMMY_SECRETへフォールバックする問題がある。CVE-2026-116747、CVSS v4.0 9.2（Critical）。
攻撃の成立条件と影響
管理者のメールアドレスを知る攻撃者が、既知の固定鍵を使ってkener-userセッションクッキーやパスワード再設定トークンを偽造し、/manage/apiに管理者としてアクセスする恐れがある。独自の強力な秘密鍵が適切に設定されている構成まで一律に影響するとは限らない。
修正版と推奨対応
4.1.10以降に更新し、十分に強い固有のKENER_SECRET_KEYを必ず設定する。固定鍵を利用していた可能性がある環境では既存セッションの無効化、認証・管理APIログの確認、管理者メールアドレスの露出状況の点検を行う。公式リリース：https://github.com/rajnandan1/kener/releases/tag/v4.1.10 開発元の説明：https://github.com/rajnandan1/kener/issues/871
悪用状況と編集部の視点
2026年10月27日時点、確認した開発元資料から実環境での悪用確認は断定できない。監視・ステータスページ自体の管理者認証が崩れるため、設定ミスとアプリの安全な既定値の双方が重要になる。