CVE-2026-72708 SPIPにSQLインジェクション脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
SPIPの4.4.18未満バージョンに、認証不要なブラインドSQLインジェクションの脆弱性が確認されています。影響は、パブリックなサイトマップエンドポイント経由で、特定のパラメータを悪意のある値で送信することで、データベース内に格納された機密情報（例：alea_ephemere秘密鍵）の漏洩が可能になります。この脆弱性は、MySQL接続処理のエスケープ処理に不備があるため発生しており、PHPとMySQLを組み合わせた環境で運用されているSPIPが対象です。確認時は、サイトマップ機能が利用されているか、パラメータの入力制限が適切かを確認し、影響範囲の特定を優先してください。CVSSスコア7.5の高深刻度のため、製品のバージョン確認と必要に応じたパッチ適用が推奨されます。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性について考えると、情報の秘密性と公開のバランスに興味がわく。このSQLインジェクションは、どのようにして「公開された」機能が悪用されているのでしょうか？
ああ、ソクラテス。まず確認すべきは、サイトマップ機能が本当に稼働しているかです。もし利用されていれば、パラメータの入力制限が適切かをチェックする必要があります。たとえば、`annee`パラメータが数値や日付形式で入力されるべきなのに、文字列が許容されている場合、リスクが高まります。
なるほど。では、この脆弱性が発生する根本的な原因は、エスケープ処理の欠陥でしょうか？
はい。MySQL接続処理の`spip_mysql_cite()`関数が、日付型の列に特定パターン（文字＋括弧）の値を渡されたときにエスケープをスキップするためです。これにより、SQL文に任意のコードを注入できるようになります。
その結果、どのような情報が漏洩する可能性があるのでしょうか？
例に挙げられているのは`alea_ephemere`秘密鍵です。これは、アクションの非同期トークンに署名するために使われます。もし漏洩すれば、攻撃者が偽装したリクエストを送信する手段を持つことになります。
では、Linux運用者として即座に確認すべき点は？
まず、SPIPのバージョンを確認し、4.4.18未満かをチェックしてください。次に、サイトマップの有無と、パラメータの入力制限が適切かを検証。影響範囲が確認できたら、ベンダーの公式情報（https://nvd.nist.gov/vuln/detail/CVE-2026-72708）に従ったパッチ適用が推奨されます。変更管理の文書化と、監視ログに異常なSQLクエリが記録されているかを定期的に見ることも重要です。
最後に、この脆弱性への対応で忘れがちな点は？
ユーモアを交えて言いますが、「サイトマップはサイトの地図であるが、悪意のある者にとっては『トラップドア』にもなる」。つまり、サイトマップが無駄に公開されている場合、それがリスクの温床になる可能性があるのです。定期的な影響調査と、パッチ適用後の再確認が、この「地図」を安全に保つ鍵です。
関連キーワード: php, mysql