---
title: "PHP の DB 管理ツール AdminNeo に 7 件（CVE-2026-96630 ほか）: SQLite 経由のコード実行・任意ファイル削除など。5.5.1 以降で修正"
url: https://n-t-p.io/worldsecurity/articles/adminneo-sqlite-rce-file-delete-xss-cookie-csrf-2026-96634
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-96630, CVE-2026-96633, CVE-2026-96631, CVE-2026-96632, CVE-2026-59978, CVE-2026-96629, CVE-2026-96634
---

# PHP の DB 管理ツール AdminNeo に 7 件（CVE-2026-96630 ほか）: SQLite 経由のコード実行・任意ファイル削除など。5.5.1 以降で修正

> **TL;DR:** PHP 製の DB 管理ツール AdminNeo に 7 件の脆弱性（High 5・Medium 2）。SQLite 経由のコード実行・任意ファイル削除、Cookie 属性の差し込み、XSS、DoS など。5.5.1 以降（最新 5.8.0）で修正済み。KEV 掲載なし、EPSS は未付与。

**要点**
- AdminNeo に 7 件（High 5・Medium 2）。SQLite の `VACUUM INTO` による任意ファイル書き込み（コード実行につながる、CVE-2026-96630）や、任意ファイル削除（96633）など
- ほか、Cookie 属性の差し込み（96631）、不正 DB サーバーによる XSS（96632）、全員に 500 を返させる DoS（59978）、CSRF トークンの偽造（96629）、ATTACH 遮断の回避（96634）
- 6 件は 5.5.1（7/20）、1 件は 5.5.0 で修正済み。最新は 5.8.0。更新していれば影響なし
- AdminNeo は管理画面なので、外部に公開している環境は更新と、アクセス元の制限を優先する
- KEV 掲載なし。EPSS は未付与（10/31）。NVD は未確認

PHP 製のデータベース管理ツール AdminNeo に、2026 年 10 月 30 日（UTC）に 7 件の脆弱性が公開されました。GitHub Advisory の重大度は High が 5 件、Medium が 2 件です。6 件は 5.5.1（2026-07-20 公開）で、残る 1 件（CVE-2026-59978）は 5.5.0 で修正済みです。現在の最新は 5.8.0（9/16）なので、最新版を使っていれば影響は出ません。CISA の KEV には載っていません。EPSS は 7 件とも、10/31 時点でまだ値が付いていません。

## 7 件の内容

| CVE | 重大度（GitHub） | 内容 | 影響する版 |
|---|---|---|---|
| CVE-2026-96630 | High（CVSS 7.2） | SQLite で `VACUUM INTO` を使い、任意の場所に任意の拡張子のファイルを書く。PHP コードを仕込めばコード実行につながる（ATTACH の遮断を回避） | 5.5.1 未満 |
| CVE-2026-96633 | High（CVSS 8.1、CWE-73） | SQLite モードのデータベース一覧の削除操作が、送られたパスをそのまま `unlink()` に渡し、PHP が書き込める任意のファイルを消せる | 5.5.1 未満 |
| CVE-2026-96631 | High（CVSS 8.2、CWE-113） | `X-Forwarded-Prefix` ヘッダーを検証せず Set-Cookie に入れるため、Cookie の属性（Domain など）を差し込める | 4.6.0 以上 5.5.1 未満 |
| CVE-2026-96632 | High（CVSS は未設定、CWE-79） | 接続先のデータベースが返すバージョン文字列を、CSP の nonce つき `<script>` に無加工で埋め込む。不正な MySQL サーバーが任意の JavaScript を実行させられる | 5.5.1 未満 |
| CVE-2026-59978 | High（CVSS 7.5） | バージョン確認用の `?script=version` が送信元を確かめず、配列を送り込まれると、以後 24 時間すべての利用者に HTTP 500 が返る | 4.6.2 以上 5.5.0 未満 |
| CVE-2026-96629 | Medium（CVSS 6.8、CWE-330・352） | CSRF トークンから 1 件観測するだけで秘密値が復元でき、偽造できる。秘密値の乱数も約 20 ビットと小さい | 5.5.1 未満 |
| CVE-2026-96634 | Medium（CVSS は未設定、CWE-74） | SQLite の ATTACH を遮断する正規表現が、コメント行を大量に並べると極端に遅くなる（遮断の回避に使える）。過去の CVE-2021-43008 の修正をすり抜ける形 | 5.5.1 未満 |

## 共通点と注意

- CVE-2026-96630・96633・96634 は、SQLite ドライバーでログインした利用者が前提です。96631・96632・96629 は、利用者の操作や特定の通信経路（プロキシの設定、不正な DB サーバーへの接続、トークンの観測）が前提です。AdminNeo は強い権限を持つ管理画面なので、インターネットに直接出している場合は特に注意が必要です。
- 勧告の多くは、AdminNeo の元になった Adminer で報告された問題を AdminNeo でも確認したものです。勧告は、元の報告へのリンクを載せています。Adminer 本体の対応状況はこの記事では確認していません。
- CVE-2026-96630 と 96634 は、SQLite の機能で PHP ファイルを書き出すことで、Web サーバー上でコードを動かせる点が問題です。勧告の手順では、公開フォルダに `shell.php` を書いて実行しています。

## 対応

- AdminNeo を 5.5.1 以降（できれば最新の 5.8.0）に更新してください。CVE-2026-59978 だけを見るなら 5.5.0 以降です。
- 更新できないときは、SQLite ドライバーの利用をやめる、管理画面を VPN や IP 制限の内側に置く、リバースプロキシで `X-Forwarded-Prefix` を外部から受け付けないようにする、といった緩和策が考えられます。
- CVE-2026-59978 の暫定策として、勧告は、一時フォルダの `adminneo.version` ファイルを Web サーバーが書き込めない状態にする方法を挙げています。
- 公開された管理画面は、使わないなら置かないのが基本です。

## 確認できていない点

- 勧告に、実際の攻撃が確認された記載はありません。KEV にも載っていません。EPSS はまだ付いていません。
- CVE-2026-96632 と 96634 は、勧告に CVSS が設定されていません。上の重大度は GitHub が付けたラベルです。
- 7 件とも NVD の評価は、この記事の時点で未確認です。数値は GitHub Advisory の値です。
- 5.5.1 の修正内容は、リリース本文ではなく勧告の記述に基づいています。


## 出典
- [GitHub Advisory GHSA-q5mp-gfjf-cf2j](https://github.com/advisories/GHSA-q5mp-gfjf-cf2j) — GitHub
- [GitHub Advisory GHSA-6vfx-w7q3-42gq](https://github.com/advisories/GHSA-6vfx-w7q3-42gq) — GitHub
- [GitHub Advisory GHSA-79wv-8rh2-9vp2](https://github.com/advisories/GHSA-79wv-8rh2-9vp2) — GitHub
- [GitHub Advisory GHSA-rx7m-wxwq-vxr9](https://github.com/advisories/GHSA-rx7m-wxwq-vxr9) — GitHub
- [GitHub Advisory GHSA-jm85-8cpp-9cjc](https://github.com/advisories/GHSA-jm85-8cpp-9cjc) — GitHub
- [GitHub Advisory GHSA-wm25-49w3-5qrg](https://github.com/advisories/GHSA-wm25-49w3-5qrg) — GitHub
- [GitHub Advisory GHSA-p96f-p2p2-2g3h](https://github.com/advisories/GHSA-p96f-p2p2-2g3h) — GitHub
- [AdminNeo v5.5.1 リリース](https://github.com/adminneo-org/adminneo/releases/tag/v5.5.1) — AdminNeo
- [NVD CVE-2026-96630](https://nvd.nist.gov/vuln/detail/CVE-2026-96630) — NIST NVD
- [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-96630,CVE-2026-96633,CVE-2026-96631,CVE-2026-96632,CVE-2026-59978,CVE-2026-96629,CVE-2026-96634) — FIRST
- [CISA Known Exploited Vulnerabilities Catalog（JSON）](https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/adminneo-sqlite-rce-file-delete-xss-cookie-csrf-2026-96634