Craft CMS の要素検索エンドポイントに認証なしの SQL インジェクション、管理者権限の奪取に至る恐れ（CVE-2026-123488・4.0.0〜4.18.9 より前／5.0.0〜5.11.2 より前）

コンテンツ管理システム Craft CMS の要素検索エンドポイントに、認証なしで悪用できる SQL インジェクション（CVE-2026-123488）が登録されました。CVSS v3.1 は 9.8（CRITICAL）です。対象は 4.0.0 以上 4.18.9 より前と 5.0.0 以上 5.11.2 より前で、それぞれ 4.18.9・5.11.2 で修正されたと記載されています。

内容

GitHub のセキュリティ勧告（GHSA-qcvp-ggx3-97r6）と、NVD に登録された CVE の記述（2026-11-06 公開、VulnCheck が登録）では、次のとおりです。

• 要素検索エンドポイントで、attribute パラメーターが無害化されないままクエリに連結されます。
• PDO がエミュレートされたプリペアドで動くため、**複数の文を続けて実行（stacked statements）**できます。
• 認証なしの攻撃者が、データベースの読み取りと書き込みをできます。勧告には、users テーブルのユーザー ID 1 の管理者フラグを立てて、読み戻して確認したと書かれています。Craft は権限チェックをこの 1 つの列で省略するため、ほかの変更は要らなかったとのことです。
• 同じ手口で、任意のアカウントのパスワードハッシュを上書きすることもできるとされています。

攻撃の手順の詳細や、実際の被害は公表されていません。本稿は公開情報を読んだだけで、再現はしていません。手順は載せません。

評価

指標	値
CVSS v3.1（VulnCheck の登録・NVD 上は Primary）	9.8 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVSS v4.0（VulnCheck の登録）	9.3
CWE	CWE-89（SQL インジェクション）
開発元（GitHub 勧告）の深刻度	High（CVE ID は勧告の時点で「No known CVE」）
NVD 登録	2026-11-06（状態は「Awaiting Analysis」で、NVD 自身の評価は未実施）
EPSS（FIRST・11/7 時点）	値なし（未算出）
CISA KEV	掲載は確認できず（11/7 取得）

認証が不要でネットワークから攻撃でき、評価も 9.0 以上のため、当サイトの基準で severity 案は critical とします。開発元の勧告は High で、CVSS の数値を出していません。評価の食い違いは、そのままお伝えします。

影響を受ける版と対処

• 影響: Craft CMS 4.0.0 以上 4.18.9 より前、および 5.0.0 以上 5.11.2 より前。
• 対処: 4.18.9 または 5.11.2 以降へ更新します。両方のリリースノートに、GHSA-qcvp-ggx3-97r6 を「権限昇格の脆弱性（high-severity）」として修正した旨があります。リリースは 2026-09-17 付けです。
• 回避策・緩和策の記載は、確認できた範囲では見つかっていません。

利用者が考えられること

1. 運用中の Craft CMS が 4.x なら 4.18.9 以降、5.x なら 5.11.2 以降かを確認します。
2. 古い場合は更新します。更新できない間は、要素検索エンドポイントへの外部からのアクセスを制限することを検討します（効果は未確認）。
3. users テーブルの管理者フラグ、管理者アカウントの追加、パスワードハッシュの不審な変更がないか確認します。

未確認の点

• 悪用の有無、公開された攻撃コード（CISA KEV に掲載は確認できず）。
• 要素検索エンドポイントの具体的な名称と、成立する構成の条件。
• 回避策・緩和策の有無（更新までの暫定対処の効果）。
• 利用規模、4.0.0 より前の版への影響。
• NVD 自身の評価。