openEQUELLAにOSコマンド実行の脆弱性、修正版2026.1あり
教材管理基盤のopenEQUELLAに、スクリプト機能を通じてサーバー上で任意のOSコマンドを実行できる脆弱性が見つかりました。スクリプトを作成・編集できるアカウントがある環境が対象で、修正版が出ています。まず自社の版とスクリプト権限の持ち主を洗い出し、修正版へ更新してください。
急ぎ度: 早めに
CVSS v4は9.4のcriticalで修正版も出ていますが、悪用にはスクリプトを作成・編集できる権限が要り、実際の攻撃は確認されていません。
関係があるか
openEQUELLAを自社で運用している組織が対象です。とくに、スクリプトの作成や編集の権限を多くの利用者に渡している環境は、早めの確認が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| openEQUELLA（Apereo Foundation） | 2026.1より前の版 | 2026.1 |
確かめ方
- 1運用中のopenEQUELLAの版を、管理者向けの情報や導入時の記録で確認し、2026.1より前かどうかを見る。
- 2スクリプトの作成・編集の権限を持つアカウントとロールを一覧にし、持たせる必要のない利用者がいないかを見る。
- 3事業者のホスティングサービスで使っている場合は、提供元に修正版の適用状況を問い合わせる。
何が起きたか
openEQUELLAの2026.1より前の版では、スクリプトを作成・編集できる利用者が、サーバー上で任意のOSコマンドを実行できます。
原因は、スクリプトエンジンから呼べるsystem.execute()にあります。渡されたOSコマンドを検証せず、実行を許す実行ファイルの許可リストもありません。分類はCWE-78とCWE-749で、公開日は2026年10月29日です。
実行されるコマンドは、openEQUELLAのサービスアカウントの権限で動きます。
攻撃の流れ
-
1
権限の取得
スクリプトを作成・編集できるアカウントを使える状態になります。
-
2
スクリプト作成
スクリプトの中で`system.execute()`を呼ぶ内容が書かれます。
-
3
コマンド実行
検証も許可リストもないまま、OSコマンドが実行されます。
-
4
サーバーに影響
サービスアカウントの権限の範囲で、データや設定、稼働状態に影響が及びます。
どう悪用されるか
悪用にはログイン済みのアカウントが要り、そのアカウントにはスクリプトの作成または編集の権限が必要です。CVSSの評価では、ネットワーク経由で、複雑な条件や利用者の操作なしに成立します。権限なしの第三者がそのまま攻撃できる型ではありません。ただ、スクリプト権限を持つアカウントが乗っ取られたり、内部の利用者に悪意があったりすれば、条件は満たされます。
成功すると、サービスアカウントの権限で任意のコマンドが動きます。CVSS v4のベクターでは、サーバー自体の機密性・完全性・可用性への影響がいずれも高く、連携する他のシステムの機密性と完全性への影響も高く評価されています。openEQUELLAのサーバーに置かれた情報や、そこから到達できる範囲が、被害の及ぶ範囲です。
今すぐやること
-
1
運用中のopenEQUELLAを洗い出す
本番だけでなく、検証用や使われなくなったインスタンスも含め、版を確認します。2026.1より前の版が対象です。
-
2
修正版に更新する
openEQUELLAのガイドとGitHubのセキュリティアドバイザリで手順を確認し、まず検証環境で動作を見てから、本番に適用します。
-
3
スクリプト権限の持ち主を見直す
スクリプトを作成・編集できるアカウントを洗い出し、業務上不要なものは権限を外します。更新の前後を問わず意味のある作業です。
-
4
既存のスクリプトとサーバーの状況を点検する
登録済みのスクリプトに、心当たりのない内容がないかを見ます。サーバー側でも、サービスアカウントによる想定外のプロセス起動や設定変更がないかを、手元のログで確認します。
すぐ更新できないとき
すぐに更新できない間は、スクリプトの作成・編集の権限を、本当に必要な少数の管理者だけに絞ってください。あわせて、openEQUELLAのサービスアカウントの権限を必要最小限にし、管理画面へのアクセス元を限定すると、悪用された場合の被害を抑えられます。これらは悪用の条件を狭める手段で、脆弱性そのものはなくなりません。
背景
openEQUELLAはApereo Foundationが扱うオープンソースのデジタルリポジトリで、教育機関などが教材やファイルを集めて管理する用途で使われます。多くの利用者が出入りする基盤なので、アカウント数が多く、権限の棚卸しが後回しになりやすい種類のシステムです。
今回の問題は、入力のすき間を突くタイプではありません。スクリプト機能が最初からOSコマンドを呼べる関数を持ち、その使い方に制限がなかったことが原因です。スクリプトを書ける権限は、実質的にサーバー上でコマンドを実行する権限にもなっていました。修正版を当てるまでは、この権限を持つアカウントを管理者の権限に近いものとして扱うのが妥当です。
よくある質問
Q.CVE-2026-66088とGHSA-64mg-3wpj-rcr6は別の脆弱性ですか。
Q.事業者のサービスとして使っている場合、自分で更新する必要はありますか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは、公表されていません。ベンダーの告知やNVDの更新で確認してください。
- どのロールにスクリプトの作成・編集権限が初期状態で付与されているかは、公表されていません。
- 2026.1での具体的な修正内容と、更新できない場合のベンダー公式の回避策は、公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| Apereo Foundation | openEQUELLA |
2026.1 未満 |
2026.1 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
In openEQUELLA before 2026.1, the system.execute() function available to the scripting engine runs supplied operating system commands without validation or an allow-list of permitted executables. A user able to create or edit scripts can use it to execute arbitrary commands with the privileges of the openEQUELLA service account.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web github.com
- web openequella.github.io
- web nvd.nist.gov
- web openequella.github.io
- web github.com