CVE-2026-85520 PrestaShop Google Merchant Center Feedモジュールに認証不要な任意のファイル書き込み脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
PrestaShopのGoogle Merchant Center Feedモジュール（gmfeed）に、認証不要な任意のファイル書き込みが可能な脆弱性が確認されています。攻撃者はfeed.phpエンドポイントに対して特別なパラメータを送信し、出力ファイルの名前・パス・拡張子・内容を指定して任意のPHPコードをサーバーに書き込むことができ、リモートコード実行（RCE）を引き起こす可能性があります。この脆弱性はバージョン2.3.9で修正済みです。影響を受ける環境では、モジュールの導入状況を確認し、対応バージョンへのアップグレードを検討してください。また、サーバー内に不正なPHPファイルが生成されていないか、アクセスログに異常なリクエストがないかを点検することも重要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、あるソフトウェアモジュールが「認証不要なファイル書き込み」の脆弱性を持つという話を聞いた。これは、私たちが「信頼」という概念をどう定義するかに直結する問題ではないか？
確かに、ソクラテス。しかし、まずは現実に私たちが運用しているシステムに、そのモジュールが実際にインストールされているかを確認すべきではないか？たとえば、PrestaShopのgmfeedモジュールが導入されていないなら、この脆弱性は関係ないのだから。
しかし、もしインストールされていても、バージョンが2.3.9より古い場合、問題は残るのだろう？
その通りです。まずは「どのバージョンが導入されているか」を確認する必要があります。また、サーバー内に予期せぬPHPファイルが生成されていないか、アクセスログに「feed.php」への異常なリクエストがないかを点検するのも重要です。たとえば、ある日突然「/var/www/html/secret.php」が出現したとしたら、それは明らかに異常です。
では、パッチ適用や変更管理の観点から見るとどうか？
パッチ適用は当然のことですが、変更管理のプロセスで「どのモジュールがどのバージョンにアップグレードされたか」を明確に記録する必要があります。また、監視ツールで「feed.php」エンドポイントへのアクセスを継続的に監視し、異常を早期に検知する仕組みを構築すべきです。
ベンダー情報の確認は？
脆弱性が修正されたバージョン（2.3.9）がどのベンダーから提供されているかを確認し、公式のアップグレード手順に従うことが肝心です。たとえば、非公式なパッチを適用してしまっては、新たな問題を引き起こす可能性があります。
最後に、この脆弱性を「信頼の危機」と見なすなら、私たち運用者はどうすればよい？
門の鍵をかけ直すように、定期的なセキュリティ診断と、ログの見直しを怠らないことです。たとえば、ある日突然「誰もが自由にファイルを書き込める」門が開いていたことに気付かなければ、後で大変なことになります。その鍵は、私たちの責任でしっかり締めなければならないのです。
関連キーワード: php