MacCMS v10に会員アカウント乗っ取りの脆弱性、修正版あり
動画サイトなどに使われるMacCMS v10のパスワード回復機能に、認証なしで他人の会員アカウントを乗っ取れる脆弱性が見つかりました。自社で運営するサイトにMacCMS v10を使っている組織が対象です。配布元の修正版に更新し、更新前に不審なパスワード再設定がなかったかも確認してください。
急ぎ度: 早めに
CVSS v3は9.1、v4は9.3の重大な評価で、修正版も出ているため、悪用の報告を待たずに更新するのが妥当です。
関係があるか
MacCMS v10を自社や委託先のサーバーで運用し、会員登録とパスワード回復の機能を公開している組織が影響を受けます。MacCMS v10にはリポジトリが複数あり、どの配布元の版を使っているかで修正版の有無が変わります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| MacCMS v10（magicblack/maccms10） | 2026.1000.4054より前 | 2026.1000.4054 |
| MacCMS v10（maccmspro/maccms10） | 2021.1000.2000以下 | 不明 |
確かめ方
- 1運用中のMacCMS v10が、magicblackとmaccmsproのどちらのリポジトリから入手した版かを、導入記録やデプロイ手順で確認します。
- 2管理画面や配置済みのソースで版を確認し、2026.1000.4054より前でないかを見ます。
- 3会員登録とパスワード回復の画面が外部に公開されているかを確認します。公開されていれば、攻撃者が到達できる状態です。
- 4アクセスログで、パスワード回復に関する要求が普段より増えていないかを見ます。
何が起きたか
MacCMS v10のパスワード回復機能に、本人以外が会員のパスワードを再設定できてしまう脆弱性が見つかりました。修正版が公開されています。
原因は、回復コードを検証する処理（check_msg()）が、コードの送り先（msg_to）と再設定を求めている会員が同じかどうかを比べていないことです。コードが有効かどうかしか見ていないため、攻撃者が自分宛てに発行させたコードで、別の会員の再設定を通せてしまいます。
脆弱性の分類はCWE-640で、公開日は2026年10月26日です。
攻撃の流れ
-
1
回復コードを発行
攻撃者が、自分が受け取れる宛先にパスワード回復コードを発行させます。
-
2
標的の会員を選ぶ
乗っ取りたい会員のメールアドレスまたは電話番号を用意します。
-
3
コードの照合が通る
サイトはコードの送り先と標的が同じかを比べないため、自分宛てのコードが受け付けられます。
-
4
パスワードを書き換え
標的のパスワードが攻撃者の指定した値に変わり、アカウントを奪われます。
どう悪用されるか
悪用に認証は要りません。攻撃者はインターネット越しにサイトへ到達できればよく、被害者に何かを操作させる必要もありません。必要なのは、標的の会員のメールアドレスまたは電話番号を知っていることだけです。
成功すると、会員のアカウントを乗っ取られます。CVSSの評価では、その会員の情報の閲覧と、設定や内容の書き換えに高い影響があるとされています。サービスの停止につながる影響は想定されていません。
今すぐやること
-
1
修正版に更新する
ファイルとデータベースのバックアップを取ったうえで、magicblack配布の版を修正版に更新します。更新後は会員登録とパスワード回復の画面が通常どおり動くかを確認します。
-
2
maccmspro版は告知を確認する
maccmspro配布の版を使っている場合は、修正版が案内されているかを、リポジトリのリリースとissueで確認します。修正版がなければ、回避策の適用を先に進めます。
-
3
更新前の不審な再設定を調べる
更新前の期間について、パスワード回復コードの発行とパスワード再設定のログを見直します。本人に覚えのない再設定や、短時間に集中した要求がないかを確認します。
-
4
疑わしい会員に連絡する
不審な再設定が見つかった会員には、アカウントを一時停止してから本人へ連絡し、本人確認のうえでパスワードを再設定してもらいます。
すぐ更新できないとき
すぐに更新できないときは、パスワード回復機能を一時的に止めます。ウェブサーバーやWAFで、user/findpass_msg と user/findpass_reset へのアクセスを遮断する方法があります。会員は管理者に依頼して再設定することになるため、問い合わせ窓口を用意しておくと混乱を避けられます。
背景
MacCMS v10は、動画サイトなどのコンテンツ配信を作るためのPHP製CMSです。会員の登録やログインの機能を備えるので、サイトの規模によっては、会員情報と、会員だけが見られるコンテンツを同じ仕組みで扱います。
パスワード回復は、メールや電話に届いたコードを持っていることを本人確認の根拠にする機能です。コードが特定の会員と結びついていないと、預かり証を持っていれば誰の荷物でも受け取れる窓口のような状態になります。今回の脆弱性はまさにその結びつきの欠落で、コードの桁数や有効期限といった強度の問題ではありません。
リポジトリがmagicblackとmaccmsproに分かれているため、運用中の版がどちらの系統かによって、対応の筋道が変わります。
よくある質問
Q.修正版に更新すれば、会員全員にパスワード再設定を求める必要がありますか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは、公表されていません。
- maccmspro配布の版について、修正版の有無と、2021.1000.2000より新しい版が影響を受けるかは分かっていません。最新の状況は、リポジトリのissueで確認してください。
- 管理者アカウントが対象に含まれるか、公式の回避策があるかは公表されていません。最新の情報は、VulnCheckの告知やmagicblackのリポジトリで確認できます。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| maccmspro | maccms10 |
2021.1000.2000 以前 |
— |
| magicblack | maccms10 |
2026.1000.4054 未満 |
2026.1000.4054 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
MacCMS v10 before 2026.1000.4054 contains an authentication bypass vulnerability that allows unauthenticated attackers to reset any member's password because check_msg() never compares msg_to. Attackers can request a recovery code to their own mailbox via user/findpass_msg, then submit it to user/findpass_reset with the victim's email or phone to take over the account.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory