CVE-2026-52766 YesWikiの重大な脆弱性: 認証不要でページ削除可能
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
YesWikiのPHPベースのwikiシステムにおいて、バージョン4.6.6以前で{{erasespamedcomments}}アクションが不正にwikiページを削除できる脆弱性が報告されています。POSTリクエストのsuppr[]配列を介して、認証チェックなしに任意のページを削除可能で、デフォルトのACL設定（default_write_acl='*'）により、誰でもページ編集権限を持つ状態で攻撃が可能です。この問題により、管理者ページやフロントページなどの重要な情報を永久に削除されるリスクがあります。確認時は導入バージョンを確認し、影響がある場合はパッチ適用を検討してください。CVSSスコア9.1で深刻度はCRITICALです。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性は「誰でも」ページを削除できると述べているが、その「誰でも」の定義は何か。システムの設計哲学が問われているのではないだろうか。
確かに、ソクラテス。だが現場では、まず導入バージョンを確認すべきです。phpの実行環境でYesWikiが動いている場合、composer.jsonやphpinfo()の出力からバージョンを特定できます。そのバージョンが4.6.6未満であれば、即座にパッチ適用の検討が必要です。
では、ACLの設定が「default_write_acl='*'」であることが前提とされるが、運用者はこの設定を変更していなかった可能性がある。これは「デフォルト」の責任が問われるのではないだろうか。
その通りです。しかし、現実の運用では、まずは「現状のACL設定を確認する」ことが先決です。yeswikiの設定ファイル（config.phpなど）をチェックし、default_write_aclが'*'であるかを確認してください。設定が変更されていない場合、リスクが顕在化する可能性があります。
監視の重要性を強調する必要があるが、その具体的な手法は？
監視に関しては、ウェブログやアクセスログに「/actions/EraseSpamedCommentsAction.php」へのPOSTリクエストが記録されているかを定期的に確認する必要があります。また、変更管理として、パッチ適用後に配置されたファイル（特にactions/EraseSpamedCommentsAction.php）のハッシュ値を保存し、異常変更を検知する仕組みを構築しましょう。
だが、パッチ適用の際、ベンダーが推奨する方法を無視してはならない。
その通りです。YesWikiの公式ドキュメントやリリースノートで、4.6.6以降のバージョンがどのように対応しているかを確認してください。また、依存関係の変更やコンフィグの変更点に注意し、テスト環境での適用を優先すべきです。
では、この脆弱性を「哲学的」に考えると、運用者は何を学ぶべきか。
運用者は「デフォルトの設計が安全であることを前提にしている」ことを疑うべきです。この脆弱性は、ACLの設計が「許可を前提とする」ため、管理者が意図せずにリスクを許容している可能性を示しています。だからこそ、導入後の設定見直しと、パッチ適用の迅速化が肝要です。
では、最後に一言。
「誰でも」が「誰でも」であることを忘れてはなりません。定期的なバージョン確認と設定見直しを、まるで哲学の探求のように丁寧に実施してください。
関連キーワード: php