openEQUELLAにCRITICAL含む4件、認証済み利用者からのRCEとXXEを開発元が公表

教育・学習コンテンツ管理基盤openEQUELLAで、OSコマンド実行、FreeMarkerテンプレート注入、Javaデシリアライズ、XML外部実体参照（XXE）の脆弱性4件が開発元から公表された。いずれも2026.1.0未満が対象で、同版への更新が推奨される。攻撃に必要な権限は脆弱性ごとに異なり、無条件に認証不要で攻撃できるわけではない。

30秒でわかる / THE SIGNAL

4件の勧告、共通の修正版は2026.1.0

openEQUELLAの開発元は2026年10月27〜29日に、サーバー上のコード実行や情報流出につながる複数の脆弱性を公表した。今回確認したHIGH以上の4件は、いずれも2026.1.0より前のバージョンが影響を受け、2026.1.0以降で修正されている。2026.1.0自体のGitHubリリース表示日は2026年9月4日であり、今回の日付は脆弱性勧告の公表日だ。新しい修正版が10月29日に初めて提供されたという意味ではない。

CRITICAL：スクリプト権限を持つ利用者がOSコマンドを実行

CVE-2026-66088（GHSA-q8xp-w3fr-hj4v、開発元CVSS v3.1 9.1／CRITICAL）は、サーバー側スクリプトのsystem.execute()とsystem.executeInBackground()が実行可能ファイルを制限せず起動できる問題。スクリプトを作成・編集できる利用者は、openEQUELLAサービスアカウントの権限でOSコマンドを実行できる。開発元によると、既定ではその権限を持つアカウントはなく、主に管理者向けだが、Everyoneグループなどへ広く権限を与えた環境では危険が増す。2026.1.0はsystem.execute.allowedExecutablesという管理者設定の許可リストを追加し、未設定・空欄ならすべての実行ファイルを拒否する。更新後、従来のスクリプトが動かなくなる場合があるため、必要なコマンドだけを絶対パスで許可する。シェルや汎用インタプリタの許可は避ける。

HIGH：一般の認証済み利用者からRCEに至る2経路

CVE-2026-94109（GHSA-62g6-mmp6-9wv2、CVSS v3.1 8.8／HIGH）は、FreeMarkerテンプレートの危険な機能を通じてサーバー側で任意コードを実行できる問題。開発元は既定構成で認証済みの非ゲスト利用者にFreeMarkerポートレット作成権限があると説明する。2026.1.0では危険なクラス生成を制限し、?api機能を無効化した。 CVE-2026-67615（GHSA-97gw-jwjx-fx9h、CVSS v3.1 8.8／HIGH）は、/invoker/*で受け付けるJava直列化オブジェクトの禁止クラス判定を、ネストしたオブジェクトで回避できる問題。認証済みの非ゲスト利用者が同エンドポイントへ到達できる場合に、アプリケーション権限でのコード実行につながる。2026.1.0で禁止対象を追加した。開発元は更新後も /invoker/* へのネットワーク到達を制限するよう推奨している。

HIGH：XMLメタデータ処理でファイル読み取り・SSRF

CVE-2026-66090（GHSA-668q-3hpr-6c96、CVSS v4.0 7.1／HIGH）は、アイテムメタデータのXML解析で外部実体参照を許していた問題。アイテムを作成・編集できる認証済み利用者が、サービスアカウントから読めるローカルファイルの内容を取得したり、サーバーから内部ネットワークやクラウドのメタデータサービスへリクエストさせたりする恐れがある。2026.1.0はDOCTYPE宣言を含むXMLを拒否する。更新できない場合は権限を見直し、/api/itemへの不正なXML入力の遮断とサーバーの外向き通信制限を併用する。ただしこれらは更新の代替ではない。

運用者が確認すべきことと留保

最優先は実行中バージョンの確認と2026.1.0以降への更新だ。あわせて、スクリプト編集、FreeMarkerポートレット作成、アイテム編集の権限付与範囲、/invoker/*へのアクセス制御、サービスアカウントの最小権限を点検する。4件は攻撃に必要な認証・権限が異なるため、すべてを「認証不要の遠隔コード実行」と表現してはならない。開発元の今回の勧告には実環境での悪用確認は記載されておらず、悪用済みとは断定できない。Node.js、React、Next.jsそのものの新たな脆弱性でもない。