CVE-2026-105123 ウェブアプリケーションの深刻な脆弱性 任意のファイル操作
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Linuxサーバー運用者向けに、CVE-2026-105123の情報を要約します。この脆弱性は、認証済み編集者が`/api/v0/media/upload/[*:path]`のPOSTリクエストでパス検証を無視し、任意のファイルをアップロードできる問題です。PHPファイルをアップロードし、ウェブサーバーで実行される可能性があり、`../`をエンコードしてメディアディレクトリ外にファイルを書き出せるほか、`/api/v0/media/[*:path]`のDELETEリクエストで任意のファイル削除が可能です。CVSSスコア8.8（深刻度HIGH）のため、phpを用いるウェブアプリケーションの運用者は、影響バージョン（3.18.0以下）を確認し、パッチ適用やメディアアップロードのパス検証設定を確認する必要があります。確認時は、アップロードされたファイルの保存先やアクセス権を厳しく制限するなど、設定に不備がないかを重点的にチェックしてください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性は「パス検証の無視」が原因とされているが、あなたはその「無視」が具体的に何を意味するか、どうして運用者にとって重要なのか、説明できますか？
ああ、それはまさに確認すべき点です。まず、このアプリケーションが`3.18.0以下`かを確認する必要があります。バージョン確認は、脆弱性の影響範囲を限定する最初の一歩です。そして、アップロードされたファイルが`media`ディレクトリ内に限定されているか、`../`のエンコードが許可されていないかを設定ファイルで確認する必要があります。たとえば、`upload_dir`や`allowed_extensions`の制限が適切かをチェックするのが肝心です。
では、このような脆弱性が存在する場合、運用者は「パッチ適用」以外に何を優先すべきでしょうか？
プラ顿：パッチ適用は当然ですが、変更管理の文書化が不可欠です。たとえば、`/api/v0/media/upload`のリクエスト処理を監視し、異常なパスが使われていないかをログで追跡する仕組みを導入するべきです。また、`DELETE`リクエストが無制限に許可されているかを確認し、アクセス制御リスト（ACL）を強化する必要があります。ベンダーの公式ドキュメントで「パス検証の設定方法」を再確認するのも、運用者としての責任です。
では、この脆弱性を「倫理的な視点」から見ると、運用者は何を失っているのでしょうか？
たとえ「攻撃が成功するか分からない」状態でも、運用者は「信頼性」を失っているのです。ファイルアップロードの制限が不十分なシステムは、第三者の信頼を失い、結果として運用の正当性が問われるかもしれません。でも、コーヒーを飲みながら「パス検証の設定を再確認する」くらいの気合いで対応すれば、問題は防げますよ。
関連キーワード: php