目次（5）
CVE-2026-120442
NVD は 2026-11-02 に、.NET 製の管理画面フレームワーク ape-volo-admin の 3.6.1 より前の版で、設定ファイル（appsettings.json）に JWT の署名鍵が固定値で入っていることによる認証バイパス CVE-2026-120442 を登録しました。署名鍵が分かれば、攻撃者は手元でトークンを作り、認証なしで管理者として API を操作できるとされています。3.6.1 で修正されています。
何が起きるか
- 種類（CWE-1394）: 既定の暗号鍵（署名鍵）が設定ファイルに固定で埋め込まれています。同じ鍵を使う環境では、第三者が管理者のトークンを自分で署名して作れます。
- 影響: トークンの jti（ID）の値を初期投入された管理者の ID にするだけで、ユーザー・ロール・権限・データを API 経由で全面的に操作できるとされています。
- 評価: CVSS v3.1 は 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、v4.0 は 9.3 です。どちらも VulnCheck による評価で、認証もユーザー操作も不要です。
- 影響範囲: 3.6.1 より前の全版です。
- 攻撃の具体的な手順は、本記事では扱いません。
数値と出典（2026-11-03 時点）
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-120442 |
| CVSS v3.1（VulnCheck） | 9.8（CRITICAL） |
| CVSS v4.0（VulnCheck） | 9.3（CRITICAL） |
| NVD の状態 | Received（NVD 自身の分析は未実施） |
| EPSS | 未算定（FIRST の API に該当データなし） |
| KEV | 掲載なし |
| 修正版 | 3.6.1 |
| 出典 | NVD、VulnCheck の勧告 |
severity を critical とした理由
認証不要・ネットワーク越しで、管理者権限の取得に直結し、CVSS v3.1 が 9.8 です。過去の判断の基準（認証不要かつ 9.0 以上は critical）に合わせて critical としています。ただし、ユーザーが鍵を既定のまま使い続けている場合に限る点は、実害の見積もりで考慮が必要です。
対応として考えられること
- 組織内で ape-volo-admin を使っていないか、使っている場合は版を確認します。
- 3.6.1 以降へ更新します。
- 更新後は、署名鍵を環境ごとに固有の値へ変更し、旧鍵で発行されたトークンを無効にします（推定）。
- 更新前の環境が外部公開されている場合は、アクセス元を社内ネットワークや VPN に限定します（推定）。
- 管理 API のアクセスログで、不審な管理者操作や、見覚えのないユーザー・ロールの追加がないかを確認します（推定）。
未確認の点
- 実際の攻撃での悪用は確認していません。
- 3.6.1 での修正の詳しい内容（鍵の生成方式の変更など）は、本記事では確認していません。
- NVD の分析は未実施で、CVSS は VulnCheck の評価です。
- 製品の導入状況は確認できていません。
この記事について
- 執筆・編集
- World Security 編集部
出典
- NVD CVE-2026-120442（NIST NVD）
- VulnCheck 勧告（ape-volo-admin 3.6.1 より前）（VulnCheck）
- FIRST EPSS（FIRST）
- CISA KEV カタログ（CISA）
