#20260312 【緊急】有名CMSやEnvoyで深刻な脆弱性が多数発覚

■ 今日のハイライト 今日は非常に多くのセキュリティアドバイザリが公開されました。その中から、Webシステムやインフラで広く利用されている「Craft CMS」「Parse Server」「Envoy」に関する重要かつ深刻な脆弱性をピックアップして詳しく解説します。 ▼ Craft CMSにおけるリモートコード実行などの脆弱性 人気のヘッドレスCMSであるCraft CMSおよび拡張機能のCraft Commerceにおいて、複数の脆弱性が報告されました。 ・CVE-2026-31857：Craft CMS 5におけるリモートコード実行（RCE）の脆弱性です。条件指定システムのTwigレンダリング関数においてエスケープが無効化されており、認証された攻撃者がサーバー上で任意のコードを実行できる恐れがあります。 ・CVE-2026-31858：ブラインドSQLインジェクションの脆弱性。 ・CVE-2026-31859：反射型XSSの脆弱性。 ・その他、Craft Commerceにおいても蓄積型XSS（CVE-2026-29177等）やSQLインジェクションが多数修正されています。 ▼ Parse Serverにおける多数の深刻な脆弱性 BaaSプラットフォームのParse Serverでも、致命的な脆弱性が一斉に報告されました。 ・CVE-2026-31871 / CVE-2026-31856：PostgreSQL利用環境におけるSQLインジェクションの脆弱性。ドット記法を用いたネストされたオブジェクトの操作時に、入力値が適切にエスケープされません。 ・CVE-2026-30941：MongoDB利用環境におけるNoSQLインジェクション。パスワードリセットなどのトークンを通じて、データベースからハッシュ化されたパスワード等を抽出される可能性があります。 ・CVE-2026-30965：セッショントークンが漏洩し、アカウント乗っ取りにつながる脆弱性。 ・CVE-2026-30966：マスターキーなしで内部テーブルを書き換えられ、権限昇格が可能になる脆弱性。 ▼ EnvoyプロキシにおけるクラッシュおよびRBACバイパス クラウドネイティブ環境のプロキシサーバーとして標準的なEnvoyにも重要な脆弱性が報告されています。 ・CVE-2026-26308：RBAC（ロールベースアクセス制御）のヘッダー検証バイパス。複数の同名ヘッダーが結合される仕様を悪用し、アクセス制限を迂回される恐れがあります。 ・CVE-2026-26311：Use-After-Free（解放後使用）によるクラッシュ脆弱性。 ・CVE-2026-26330：レートリミット機能の不具合によるクラッシュ脆弱性。トラフィックの入り口となるEnvoyのダウンは、システム全体のサービス拒否（DoS）に直結します。 各種システムを運用しているエンジニアやセキュリティ担当者の方は、直ちに影響有無を確認し、パッチ適用を進めてください。詳しい脆弱性番号や影響バージョンは公式のアドバイザリをご確認ください。 #セキュリティ #エンジニア #ITニュース #脆弱性 #インフラ Data sources: GitHub Advisory Database (CC-BY 4.0) --- stand.fmでは、この放送にいいね・コメント・レター送信ができます。 https://stand.fm/channels/5ec48451f654bbcab4d3f793