WidzialniCMS 2.5の更新、認証不要のRCE脆弱性を修正
CMSのWidzialniCMSに、2.5より前の版ではログインなしでサーバー上のコードを実行されかねない脆弱性2件を含む、計4件の脆弱性があります。該当する版を使う組織は2.5へ更新し、管理パネルへの不審なアクセスの跡も確認してください。
同じ発表の脆弱性 2 件
この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。
- CVE-2026-110468 重大 10.0
- CVE-2026-110469 重大 10.0
急ぎ度: 至急
ファイルアップロード経由でコード実行に至る2件がCVSS v4で10と最高値で、認証なしで狙われうる一方、修正版の2.5がすでに公開されているためです。
関係があるか
WidzialniCMSを自社や顧客のWebサイトで動かしている組織が対象です。管理パネルがインターネットから届く構成だと、とくに影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| WidzialniCMS（Fundacja Widzialni） | 2.5より前のすべての版 | 2.5 |
確かめ方
- 1管理画面や導入時の資料で、WidzialniCMSの版が2.5より前かどうかを確認します。
- 2制作会社やホスティング事業者に運用を任せている場合は、使っている版を問い合わせます。
- 3Webサーバーのアクセスログで、
/panel/controllers/save_photo.phpと/panel/upload.phpへの心当たりのない要求がないかを調べます。 - 4アップロード先のフォルダーなどに、画像や添付ファイルではない見慣れないスクリプトファイルがないかを見ます。
何が起きたか
WidzialniCMSの管理パネルにあるファイルアップロード処理に、認証なしで任意のファイルをサーバーに置けてしまう脆弱性が2件あります。権限の確認にクライアント側で操作できるパラメーターが使われ、保存先の検証も不十分なためです。サーバー上の好きな場所にファイルを置かれると、最終的に遠隔からのコード実行に至ります。
同じ2.5の更新では、アップロード以外の2件を含む計4件が修正されています。
- CVE-2026-110468:
/panel/controllers/save_photo.phpで、任意のファイルを任意の場所に置かれ、コード実行に至る（CVSS v4は10、CWE-434） - CVE-2026-110469:
/panel/upload.phpで、同じ仕組みにより任意のファイルを任意の場所に置かれ、コード実行に至る（CVSS v4は10、CWE-434） - CVE-2026-112204:
/index.phpに反射型のクロスサイトスクリプティングがあり、閲覧者のブラウザーで任意のJavaScriptを動かされ、セッションcookieを盗まれうる（CWE-79） - CVE-2026-112205: ログイン画面のブルートフォース対策を回避され、試行回数に上限なくパスワードを試される（CWE-307）
CERT Polskaが2026年11月9日に公表しました。実際の攻撃で悪用されたかどうかは、今のところ示されていません。ただ、認証が要らず深刻度が最高値の脆弱性が公表と同時に広く知られるため、筆者は、更新が遅れた環境ほど早く狙われると見ています。
攻撃の流れ
-
1
入口を見つける
外部から届く管理パネルのアップロード用の窓口に、ログインなしで接続します。
-
2
権限確認を素通り
クライアント側で操作できる権限確認の値により、認証を求められずに処理が進みます。
-
3
任意の場所に設置
保存先の検証が甘いため、サーバー上の好きな場所にファイルを置かれます。
-
4
コード実行
置かれたファイルを通じて、サーバー上で攻撃者のコードが動きます。
どう悪用されるか
アップロードの2件（CVE-2026-110468、CVE-2026-110469）は、ネットワーク経由で、認証なし、利用者の操作なしに悪用できます。攻撃者はログインする必要がありません。CVSS v4のベクターでも、攻撃元区分はネットワーク、必要な権限と利用者の関与はいずれもなしです。
悪用されると、Webサーバー上で任意のコードを実行されます。CVSS v4では機密性・完全性・可用性のすべてが高と評価されており、サイトの改ざん、保存データの閲覧、同じサーバーを足がかりにした内部への侵入が起こりえます。
XSSの1件（CVE-2026-112204）は条件が違い、細工されたURLを閲覧者が開くことで成立します。管理者などがセッションを盗まれると、その権限で管理画面を操作されるおそれがあります。ブルートフォース対策の回避（CVE-2026-112205）は、認証なしの攻撃者がログイン試行を無制限に繰り返せるようになるものです。
今すぐやること
-
1
WidzialniCMSを2.5に更新する
2.5より前の版はすべて対象で、4件とも2.5で修正されています。更新前に、サイトのファイルとデータベースのバックアップを取っておきます。入手と更新の手順は、Fundacja Widzialniの案内で確認してください。
-
2
更新の前後で侵害の跡を調べる
アップロード用の2つの窓口へ、見覚えのない送信元からの要求がないかをアクセスログで確認します。あわせて、アップロード先を含むフォルダーに、見慣れないスクリプトファイルが置かれていないかを見ます。更新しただけでは、すでに置かれたファイルは消えません。
grep -E 'save_photo.php|/panel/upload.php' /var/log/nginx/access.log -
3
不審な点があれば認証情報を入れ替える
不審なファイルやアクセスが見つかったら、管理者のパスワードを変更し、ログイン中のセッションを破棄します。サーバーの調査は、制作会社やホスティング事業者とも連携して進めます。
-
4
運用を任せている先に適用状況を確認する
制作会社やホスティング事業者が管理している場合は、使用中の版と2.5への更新予定日を問い合わせ、更新後に不審なファイルがないかの確認も依頼します。
すぐ更新できないとき
CERT Polskaの告知に、更新以外の回避策の記載はありません。更新まで時間がかかる場合のつなぎとして、Webサーバーやリバースプロキシで /panel 配下へのアクセスを社内ネットワークや管理者のIPアドレスだけに絞る方法があります。ただし、これはベンダーが示した対策ではありません。/index.php のXSSには効かないので、2.5への更新までの一時的な措置にとどめてください。
背景
WidzialniCMSは、ポーランドのFundacja Widzialniが提供するWebサイト用のCMSです。公式ページは、WCAG 2.1のAAに準拠していることをうたい、公的機関向けの情報公開ページ（BIP）の機能も備えるとしています。記事や添付ファイルの公開、画像ギャラリー、ファイルの保管場所の管理が標準機能で、管理パネルからファイルをサーバーに置く処理が日常的に使われる製品です。
今回の2件のアップロード脆弱性は、その処理の権限確認がクライアント側に委ねられていたことに原因があります。ファイルアップロード機能の脆弱性は、保存先と種類を検証する場所がサーバー側にないと、置かれたファイルがそのまま実行されうる点が危険です。ログイン画面の対策にも触れると、公式ページは、5回の入力失敗でアカウントをロックし、その後は試行の間隔を伸ばす仕組みを説明しています。CVE-2026-112205は、この制限を回避できるというものです。
よくある質問
Q.自社のサイトでWidzialniCMSを使っているか分かりません。どう調べればよいですか。
/panel 配下になっているか、サイトを制作した会社の納品資料にWidzialniCMSの名前があるかを手がかりにします。見当がつかない場合は、制作会社やホスティング事業者に、使用しているCMSと版を問い合わせるのが確実です。まだ分かっていないこと
- XSS（CVE-2026-112204）とログイン試行制限の回避（CVE-2026-112205）の2件には、CVSSなどの深刻度の値が告知に載っていません。
- 実際の攻撃で悪用されたかどうかは、告知に記載がありません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| Fundacja WidzialniWidzialniCMS |
2.5 未満→ 2.5 |
2.5 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
WidzialniCMS is vulnerable to Unrestricted File Upload in the /panel/controllers/save_photo.php endpoint. Due to a client-controlled permission check parameter and insufficient validation of the currentpath parameter, an unauthenticated attacker can upload arbitrary files to any locations on the server, leading to Remote Code Execution.
This issue has been fixed in version 2.5.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web cvd@cert.pl
- web cvd@cert.pl
- web nvd.nist.gov
- web github.com