CVE-2026-85985 ファイルアクセスUDF経由のセキュリティ設定脆弱性
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
MariaDBサーバーの特定バージョン（10.6.1～10.6.28、10.11.19、11.4.13など）に存在する脆弱性により、低権限の攻撃者がファイルアクセスUDFを用いて、データベースアカウントがアクセス権を持たないファイルを読み書きできる可能性があります。この問題は、セキュリティ設定のsecure_file_privが適切に適用されていない場合に発生し、サーバー上の設定ファイルや機密データの漏洩、改ざんリスクを高める要因となります。確認時は、使用中のMariaDBバージョンとsecure_file_privの設定状況を確認し、該当するパッチ適用（10.6.28以降など）を検討してください。CVSSスコア5.4（中程度の深刻度）のため、運用環境の影響範囲に応じた対応が重要です。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性は私たちの倫理的責任と技術的義務を問うているのではないだろうか？ファイルアクセスの制御が不完全であるという点に目を向けると、運用者は「セキュリティ設定が正しく適用されているか」という問いに直面するのではないだろうか？
確かにソクラテス、しかし私はまず現実の確認から始めたい。まず、使用中のMariaDBバージョンを確認すべきではないか？CVEに記載されているバージョンが該当するかを確認するためだ。また、secure_file_privの設定が有効になっているかを確認する必要がある。例えば、`SHOW VARIABLES LIKE 'secure_file_priv';`というクエリで確認できる。
しかしプラトン、もしsecure_file_privが正しく設定されていなかったら、それは運用者に何を問うているだろう？運用の「責任」と「無知」の境界線が曖昧になるのではないだろうか？
その通りだが、答えは簡単だ。パッチ適用を検討すべきだ。CVEに記載されている修正バージョン（10.6.28以降など）にアップグレードするか、ベンダーが提供するパッチを適用するかを検討する必要がある。また、変更管理のプロセスでこの修正を記録し、監視システムに異常を検知するルールを追加するべきだ。
では、この脆弱性が発生した場合、運用者は「情報の漏洩」を防ぐためには何をすべきだろう？
ベンダー情報の確認だ。MariaDBの公式サイトやNVDのリンク（https://nvd.nist.gov/vuln/detail/CVE-2026-85985）を参照し、該当バージョンの修正履歴を確認する。また、運用環境に影響があるかどうかを影響調査で明確にし、リスクを評価する必要がある。
しかしプラトン、もし私たちが「確認」を怠れば、それは哲学的な「怠惰」に等しくないか？
その通りだ。でも、少なくとも私は今、確認作業を開始する。あなたも、セキュリティ設定の確認から始めるべきではないか？（笑）
関連キーワード: mysql, mariadb