目次（4）
CVE-2026-96630
CVE-2026-96633
CVE-2026-96631
CVE-2026-96632
CVE-2026-59978
CVE-2026-96629
CVE-2026-96634
PHP 製のデータベース管理ツール AdminNeo に、2026 年 10 月 30 日（UTC）に 7 件の脆弱性が公開されました。GitHub Advisory の重大度は High が 5 件、Medium が 2 件です。6 件は 5.5.1（2026-07-20 公開）で、残る 1 件（CVE-2026-59978）は 5.5.0 で修正済みです。現在の最新は 5.8.0（9/16）なので、最新版を使っていれば影響は出ません。CISA の KEV には載っていません。EPSS は 7 件とも、10/31 時点でまだ値が付いていません。
7 件の内容
| CVE | 重大度（GitHub） | 内容 | 影響する版 |
|---|---|---|---|
| CVE-2026-96630 | High（CVSS 7.2） | SQLite で VACUUM INTO を使い、任意の場所に任意の拡張子のファイルを書く。PHP コードを仕込めばコード実行につながる（ATTACH の遮断を回避） | 5.5.1 未満 |
| CVE-2026-96633 | High（CVSS 8.1、CWE-73） | SQLite モードのデータベース一覧の削除操作が、送られたパスをそのまま unlink() に渡し、PHP が書き込める任意のファイルを消せる | 5.5.1 未満 |
| CVE-2026-96631 | High（CVSS 8.2、CWE-113） | X-Forwarded-Prefix ヘッダーを検証せず Set-Cookie に入れるため、Cookie の属性（Domain など）を差し込める | 4.6.0 以上 5.5.1 未満 |
| CVE-2026-96632 | High（CVSS は未設定、CWE-79） | 接続先のデータベースが返すバージョン文字列を、CSP の nonce つき <script> に無加工で埋め込む。不正な MySQL サーバーが任意の JavaScript を実行させられる | 5.5.1 未満 |
| CVE-2026-59978 | High（CVSS 7.5） | バージョン確認用の ?script=version が送信元を確かめず、配列を送り込まれると、以後 24 時間すべての利用者に HTTP 500 が返る | 4.6.2 以上 5.5.0 未満 |
| CVE-2026-96629 | Medium（CVSS 6.8、CWE-330・352） | CSRF トークンから 1 件観測するだけで秘密値が復元でき、偽造できる。秘密値の乱数も約 20 ビットと小さい | 5.5.1 未満 |
| CVE-2026-96634 | Medium（CVSS は未設定、CWE-74） | SQLite の ATTACH を遮断する正規表現が、コメント行を大量に並べると極端に遅くなる（遮断の回避に使える）。過去の CVE-2021-43008 の修正をすり抜ける形 | 5.5.1 未満 |
共通点と注意
- CVE-2026-96630・96633・96634 は、SQLite ドライバーでログインした利用者が前提です。96631・96632・96629 は、利用者の操作や特定の通信経路（プロキシの設定、不正な DB サーバーへの接続、トークンの観測）が前提です。AdminNeo は強い権限を持つ管理画面なので、インターネットに直接出している場合は特に注意が必要です。
- 勧告の多くは、AdminNeo の元になった Adminer で報告された問題を AdminNeo でも確認したものです。勧告は、元の報告へのリンクを載せています。Adminer 本体の対応状況はこの記事では確認していません。
- CVE-2026-96630 と 96634 は、SQLite の機能で PHP ファイルを書き出すことで、Web サーバー上でコードを動かせる点が問題です。勧告の手順では、公開フォルダに
shell.phpを書いて実行しています。
対応
- AdminNeo を 5.5.1 以降（できれば最新の 5.8.0）に更新してください。CVE-2026-59978 だけを見るなら 5.5.0 以降です。
- 更新できないときは、SQLite ドライバーの利用をやめる、管理画面を VPN や IP 制限の内側に置く、リバースプロキシで
X-Forwarded-Prefixを外部から受け付けないようにする、といった緩和策が考えられます。 - CVE-2026-59978 の暫定策として、勧告は、一時フォルダの
adminneo.versionファイルを Web サーバーが書き込めない状態にする方法を挙げています。 - 公開された管理画面は、使わないなら置かないのが基本です。
確認できていない点
- 勧告に、実際の攻撃が確認された記載はありません。KEV にも載っていません。EPSS はまだ付いていません。
- CVE-2026-96632 と 96634 は、勧告に CVSS が設定されていません。上の重大度は GitHub が付けたラベルです。
- 7 件とも NVD の評価は、この記事の時点で未確認です。数値は GitHub Advisory の値です。
- 5.5.1 の修正内容は、リリース本文ではなく勧告の記述に基づいています。
この記事について
- 執筆・編集
- World Security 編集部
出典
- GitHub Advisory GHSA-q5mp-gfjf-cf2j（GitHub）
- GitHub Advisory GHSA-6vfx-w7q3-42gq（GitHub）
- GitHub Advisory GHSA-79wv-8rh2-9vp2（GitHub）
- GitHub Advisory GHSA-rx7m-wxwq-vxr9（GitHub）
- GitHub Advisory GHSA-jm85-8cpp-9cjc（GitHub）
- GitHub Advisory GHSA-wm25-49w3-5qrg（GitHub）
- GitHub Advisory GHSA-p96f-p2p2-2g3h（GitHub）
- AdminNeo v5.5.1 リリース（AdminNeo）
- NVD CVE-2026-96630（NIST NVD）
- FIRST EPSS API（FIRST）
- CISA Known Exploited Vulnerabilities Catalog（JSON）（CISA）
