CVE-2026-100850 AzuraCastの深刻な脆弱性に関する注意点

この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。

公開日: 2026-09-27T02:17:24.007 / 更新日: 2026-09-27T02:17:24.007 / CVSS: 7.7 / 深刻度: HIGH

AzuraCastのバージョン0.23.8以前に存在するサーバーサイドリクエストフォージェリとローカルファイル読み取りの脆弱性(CVE-2026-100850)が発見されました。ステーションメディア権限を持つユーザーがリモートURLを指定したプレイリストを作成・更新すると、file_get_contents()が無制限に実行され、/etc/passwdやアプリケーションの.envファイルなど、ホストファイルが漏洩する可能性があります。PHPのallow_url_fopenが有効な場合、内部HTTPリクエストの内容も取得可能です。CVSSスコア7.7(深刻度HIGH)のため、管理者は現在のバージョンを確認し、パッチ適用を検討してください。Docker環境ではデフォルトでallow_url_fopenが有効なため、設定の確認も必要です。公開時点では修正バージョンは存在していません。

参照情報

ソクラテスの問い、プラトンの備え

ソクラテス

プラトンよ、この脆弱性の存在に気づいた時、まず管理者として確認すべき第一歩は何かを問いたい。このAzuraCastのバージョンが0.23.8以前であるかどうか、そしてその判断に必要な情報はどこにあるか。

プラトン

ソクラテス、それは確かに重要な問いです。まず現行のバージョンを確認する必要があります。AzuraCastの管理画面やコマンドラインで`azuracast version`を実行すれば、現状のバージョンが一目でわかります。また、Docker環境であれば`docker inspect`や`docker-compose config`を使ってコンテナの設定を確認するのも手です。

ソクラテス

なるほど、現状の確認が第一歩である。では、この脆弱性が実際に影響を及ぼす可能性があるかを判断するには、どのような観点が重要か。

プラトン

その問いには二つの視点があります。まず、PHPの`allow_url_fopen`が有効であるかどうか。Docker環境ではデフォルトで有効なため、`php.ini`の設定を確認する必要があります。また、ステーションメディア権限を持つユーザーが存在し、リモートURLを指定したプレイリストを作成できるかという点です。これらを確認せずに、影響調査は不完全です。

ソクラテス

しかし、仮に現状が危険な状態にあるとしても、管理者として即座に何をすべきか。

プラトン

パッチ適用が最優先ですが、現在のところ修正バージョンは存在していません。そのため、緊急対応として、`allow_url_fopen`を無効化する設定変更や、アクセス制御の見直しを検討する必要があります。また、変更管理の文書化と、監視ツールで異常なファイルアクセスを検知する仕組みの整備も重要です。

ソクラテス

では、ベンダー情報の確認はなぜ必要なのか。

プラトン

ベンダー情報は、今後の修正バージョンの公開や、類似の脆弱性への対応策を把握するためです。AzuraCastの公式リリースノートや、Dockerイメージの更新履歴を定期的に確認する習慣があれば、リスクの早期発見につながります。

ソクラテス

最後に、この脆弱性がもたらす倫理的責任について問う。

プラトン

(笑)責任は、技術的な対応が先です。哲学的議論は、パッチが公開された後で十分にできます。今は、現状の確認と、手の届く範囲での対策が、管理者としての義務です。

関連キーワード: php, docker