Zabbix に OSコマンドインジェクション(CVE-2026-23920・CVSS 8.8)

概要

Zabbix に OSコマンドインジェクション (CVE-2026-23920) が存在。悪用されるとシステム全体を乗っ取られる可能性があります。

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Host and event action script input is validated with a regex (set by the administrator), but the validation runs in multiline mode. If ^ and $ anchors are used in user input validation, an injected newline lets authenticated users bypass the check and inject shell commands.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

Zabbixのホストおよびイベントアクションスクリプト入力が不適切に検証され、正規表現のマルチラインモードによって検証が迂回される可能性があります。これにより認証されたユーザーはシェルコマンドを注入できます。

❓ 何が問題か

Zabbixのホストおよびイベントアクションスクリプト入力を不適切に検証している問題。

📍 影響範囲

Zabbixのホストおよびイベントアクションスクリプト入力処理。

🔥 重要度

この脆弱性により、認証されたユーザーはシェルコマンドインジェクションを実行できるため、システムの完全性がリスクにさらされます。

🔧 修正方法

Zabbixにパッチを適用することでこの問題を修正可能。具体的には、該当バージョンの正規表現検証を修正。

🛡️ 暫定回避

パッチ適用までセキュリティ設定を厳格にし、信頼できるユーザーのみにアクセスを制限する。

🔍 検知方法

Zabbixでホストおよびイベントアクションスクリプトの入力検証において想定外の動作がないかログを監視する。

ディストリビューション別の修正状況

各ディストリビューションが公開している、この CVE の修正パッケージ

Debian DEBIAN-CVE-2026-23920 zabbix