検索NeSC を見る
脆弱性・CVE速報深刻度: 高

GLPI でユーザーの複製から Super-Admin 権限を得られる欠陥（CVE-2026-121559）: CVSS 7.2、10.0.28 未満と 11.0.10 未満が対象

World Security 編集部
AI 支援あり
目次（5）

CVE-2026-121559

IT 資産管理・ヘルプデスクの OSS「GLPI」に、ログイン済みのユーザーがアカウントの複製機能を使って Super-Admin（最高権限）のアカウントを作れる欠陥（CVE-2026-121559）が公表されました。複製の処理が、元のアカウントに付いているプロファイル（権限）とグループの割り当てをすべて、権限チェックなしでコピーしていました。公表では、Technician プロファイルのユーザーが Super-Admin のアカウントを新しいログイン名とパスワードで複製し、攻撃者が自由に使える Super-Admin を手に入れられるとされています。VulnCheck 評価の CVSS v3.1 は 7.2 です。CISA の KEV（悪用が確認された脆弱性）カタログには載っていません。対象は 10.0.0 以上 10.0.28 未満、および 11.0.0 以上 11.0.10 未満です。

概要

項目内容
問題User::getCloneRelations() が、複製元のすべての Profile_User（プロファイル割り当て）と Group_User（グループ割り当て）を、権限チェックなしで複製先にコピーする（CWE-269）
攻撃条件ネットワーク経由で、ログイン済みのユーザーが対象。CVSS のベクトルでは必要な権限は高（PR:H）、操作は不要（UI:N）。公表の説明は Technician プロファイルからの実行を挙げており、評価と説明の前提に差がある
影響攻撃者が自分で決めたログイン名とパスワードの Super-Admin アカウントを得る。機密性・完全性・可用性のすべてに高い影響
CVSS v3.17.2（AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H、評価元は VulnCheck）。v4.0 は 8.6。NVD の状態は Deferred
EPSS取得時点（2026-11-04）では FIRST にまだデータなし
CISA KEV載っていない（2026-11-04 時点）
対象GLPI 10.0.0 以上 10.0.28 未満、11.0.0 以上 11.0.10 未満
修正版10.0.28、11.0.10（NVD の対象範囲から読み取れる版。GLPI のセキュリティ勧告 GHSA-c46f-4v9j-5gpc で修正の入ったコミットが参照されている）

仕組みはこうです。GLPI のユーザー管理には、既存のユーザーを複製して新しいユーザーを作る機能があります。複製の際、元のアカウントに結びついたプロファイルとグループの割り当てが、そのまま新しいアカウントに引き継がれます。このとき「複製する人が、その権限を付与してよいか」の確認が行われませんでした。そのため、ユーザーの複製を実行できる立場の人が、Super-Admin のアカウントを新しい認証情報で複製すると、自分のものとして使える最高権限のアカウントができあがります。

なぜ重要か

GLPI は、機器の台帳、チケット、ライセンス、ネットワーク構成など、組織の IT 資産の情報を集める基盤として使われます。Super-Admin を奪われると、全データの閲覧と改ざん、ほかのユーザーの管理、連携先の認証情報の取得などに進める可能性があります。社内の担当者のアカウントが乗っ取られた場合や、内部の不正でも、一気に最高権限まで広がります。

一方で、攻撃にはログイン済みで、ユーザーの複製が実行できる権限が必要です。インターネットから認証なしで突ける欠陥ではなく、CVSS も高（7.2）で、KEV には載っていません。それでも、一般の担当者アカウントから管理者へ上がる経路になるため、更新を急ぐ価値があります。

対策

  • GLPI を 10.0.28 以降、または 11.0.10 以降に更新する。
  • 更新までの間は、ユーザーの複製（作成）権限を持つプロファイルを見直し、必要のない担当者から外す。
  • 管理画面のユーザー一覧とプロファイル割り当てを点検し、見覚えのない Super-Admin アカウントや、最近複製されたアカウントがないか確認する。
  • Super-Admin アカウントの追加や権限変更を、ログで監視する。

数値と出典（2026-11-04 時点）

項目内容
NVDDeferred。CVSS v3.1 7.2（AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H）、v4.0 8.6、評価元は VulnCheck。弱点の種類は CWE-269
EPSSFIRST にまだデータなし（2026-11-04 取得）
KEV載っていない
出典NVD、GLPI のセキュリティ勧告（GHSA-c46f-4v9j-5gpc）、VulnCheck の勧告、FIRST、CISA KEV

未確認の点

  • 悪用の有無、規模、攻撃者。KEV には載っておらず、公開情報では悪用の報告を確認できていない。
  • 攻撃に必要な最低限の権限。CVSS では高（PR:H）だが、説明では Technician プロファイルが実行できるとされており、既定の設定でどこまで当てはまるかは確認できていない。
  • 10.0 系・11.0 系のうち、修正が入った正確な版と、今回の対象外の旧系統（9.x など）への影響。
  • NVD の分析は未完了（Deferred）で、評価が変わる可能性がある。
  • EPSS が未算出のため、悪用される見込みの数値は確認できていない。
  • 公開された悪用コードの有無。

この記事について

AI の利用
本記事は AI が NVD などの公開情報をもとに作成しました。数値は取得時点（2026-11-04）のもので、未確認の点は本文に明記しています。

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事