目次（6）
CVE-2026-117604
NVD は 2026-10-27 に、フラットファイル CMS の Grav に関する認可バイパス（CVE-2026-117604）を登録しました。デバッガーの認可判定（Debugger::isDebuggerRequestAuthorized()）が、接続元アドレスがループバックかどうかに依存しており、同一ホストのリバースプロキシの背後では外部からのリクエストもループバックに見えてしまうとされています。1.7.53.3 以上 1.7.53.6 より前が影響を受けます。
何が起きるか
- CVE-2026-117604（認可バイパス、CWE-200）: 認証されていない訪問者が、プロファイラ Clockwork のデータ（/__clockwork/）を読めるとされています。
- 同一ホストのリバースプロキシの背後では、外部からのリクエストの接続元（REMOTE_ADDR）がループバックに見えるため、判定をすり抜けます。
- 保存されたレコードに、管理者の平文パスワードや設定上の認証情報が含まれていた場合、読み取られるとされています。
- 認証は不要で、影響は機密性のみ（完全性・可用性への影響は付けられていません）。
- CVSS v3.1 は 7.5（High、AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N）、v4.0 は 8.7 です。
- 攻撃の具体的な手順は、本記事では扱いません。
修正の状況
- 影響を受けるのは 1.7.53.3 以上 1.7.53.6 より前 で、1.7.53.6 で修正されています（公式リポジトリのリリースと修正コミット、セキュリティアドバイザリで確認できます）。
- 公式な回避策は確認できていません。
数値と出典（2026-11-02 時点）
| CVE | 種類 | 認証 | CVSS v3.1 / v4.0 | CWE | EPSS |
|---|---|---|---|---|---|
| CVE-2026-117604 | Clockwork プロファイラの認可バイパス（ループバック判定） | 不要 | 7.5 / 8.7 | CWE-200 | 0.31%（パーセンタイル 23.5%、11/1） |
- NVD の状態は Deferred（NVD 自身の評価は未実施）で、CVSS は CNA（VulnCheck）が付けた値です。
- KEV（CISA の悪用確認済みカタログ）には掲載がありません。実際の攻撃での悪用は確認していません。
severity を high とした理由
認証は不要ですが、影響は情報の読み取りに限られ、v3.1 は 7.5 です。また、同一ホストのリバースプロキシの背後でデバッガーが有効な構成が前提と読めます。EPSS は低く KEV もないため、過去の判断の基準（認証不要かつ CVSS 9.0 以上は critical、それ未満や条件付きは high）に合わせて high としています。
対応として考えられること
- Grav を使っている場合、バージョンを確認します。
- 1.7.53.3 以上 1.7.53.6 未満であれば、1.7.53.6 以降に更新します。
- 本番環境でデバッガー（Clockwork）が有効になっていないか確認し、不要なら無効にします（推定）。
- リバースプロキシで /__clockwork/ への外部アクセスを遮断します（推定）。
- 該当期間に外部から /__clockwork/ へのアクセスがなかったかログを確認し、心当たりがあれば管理者パスワードと設定上の認証情報の変更を検討します（推定）。
未確認の点
- 実際の攻撃での悪用は確認していません。
- デバッガーが既定で有効か、どの構成で外部から到達できるかは確認できていません（NVD の記述は同一ホストのリバースプロキシの背後）。
- 実際にどの程度の認証情報がプロファイラの記録に残るかは確認できていません。
- NVD 自身の評価は未実施で、CVSS は CNA の値です。
この記事について
- 執筆・編集
- World Security 編集部
