目次（6）
CVE-2026-121939
バックアップ管理ツール Databasement の 1.10.9 より前の版に、外部 ID 基盤（OIDC）でログインするときの認証回避の不備（CVE-2026-121939）があります。2026-11-04 に NVD へ登録されました。登録元は VulnCheck で、NVD の状態は「Deferred」（NVD による詳細分析は後回し）です。
何が起きるか
- 対象は
OAuthService::findOrCreateLocalUser()です。OIDC でログインしてきた人を、メールアドレスが同じ既存ユーザーに結び付けますが、IdP 側でメールが確認済みか（email_verified）を見ていません（CWE-290）。 - 攻撃者が、使える IdP に被害者のメールアドレスを未確認のまま登録すると、そのアドレスの既存ユーザーとしてログインできます。管理者（スーパー管理者）のアドレスを知っていれば、管理者にもなれます。
- 結び付けは残るため、被害者がパスワードを変えても、攻撃者のアクセスは続くと NVD は説明しています。
- ただし、攻撃には「未確認のメールを受け付ける IdP が使える設定であること」が前提になると考えられます。CVSS で攻撃の難しさが「高」（AC:H）とされているのは、この条件のためと推測されます（公式の説明ではありません）。
数値と severity
- CVSS v3.1 は 8.1（HIGH）。ベクターは AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H です。CVSS v4.0 は 9.2（CRITICAL）です。
- v3.1 は認証不要ですが、9 未満のため critical にはせず、severity は high とします。
- EPSS と CISA の KEV は本記事の作成時点で未確認です。
影響を受ける製品と修正
- Databasement 1.10.9 より前のすべての版。
- 修正版は 1.10.9 です。リリースと修正コミット、GitHub のセキュリティ情報（GHSA-mh6w-2cch-w8v8）が公開されています。
対策
- Databasement を 1.10.9 以降に更新する。
- すぐ更新できない場合の対応として、次のようなものが考えられます（公式の指示ではありません）。
- OIDC ログインを一時的に止める、またはメール確認を必須にした IdP だけを許可する。
- 管理者などの権限が高いユーザーのメールアドレスに、不審な OIDC 連携がないか確認する。
- すでに結び付けが作られた疑いがあるときは、該当ユーザーの連携を解除し、セッションを失効させる。
未確認の点
- 悪用の有無と、攻撃コードの公開状況。
- 未確認のメールを受け付ける IdP が、実際にどれくらいの環境で使われているか。
- 回避策の有効性、NVD の最終評価、EPSS、KEV の掲載状況。
出典
- NVD: CVE-2026-121939
- VulnCheck: databasement-before-1.10.9-account-takeover-via-oidc-email-auto-linking
- GitHub セキュリティ情報 GHSA-mh6w-2cch-w8v8 / v1.10.9 リリース
この記事について
- 執筆・編集
- World Security 編集部
- AI の利用
- 本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-04）のもので、未確認の点は本文に明記しています。
出典
- NVD CVE-2026-121939（NIST NVD）
- VulnCheck Advisory（VulnCheck）
- GitHub Security Advisory GHSA-mh6w-2cch-w8v8（GitHub）
- Databasement v1.10.9 リリース（GitHub）
