--- title: "HotGo 2.15.1 までの版に SMS ログイン認証コードを攻撃者が指定できる認証バイパス CVE-2026-120447（CVSS v3.1 8.1）: 携帯番号を知っていれば管理者を含むアカウントを乗っ取られるおそれ" url: https://n-t-p.io/worldsecurity/articles/hotgo-sms-login-code-client-controlled-account-takeover-cve-2026-120447 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 高 cve: CVE-2026-120447 --- # HotGo 2.15.1 までの版に SMS ログイン認証コードを攻撃者が指定できる認証バイパス CVE-2026-120447（CVSS v3.1 8.1）: 携帯番号を知っていれば管理者を含むアカウントを乗っ取られるおそれ > **TL;DR:** HotGo 2.15.1 までで、SMS ログインの認証コードをリクエストで指定できるため、携帯番号を知っていれば管理者を含むアカウントを乗っ取れる（CVE-2026-120447、CWE-287）。CVSS v3.1 8.1・v4.0 9.2（VulnCheck 評価）、KEV なし、EPSS は未算定。修正版は未確認。 **要点** - HotGo 2.15.1 までに、SMS ログインの認証コードをクライアント側が指定できる認証バイパスがある（CVE-2026-120447、CWE-287） - 対象ユーザーの携帯番号を知っていれば、認証なしで既知のコードを設定してログインでき、管理者を含むアカウントを乗っ取れる - CVSS v3.1 8.1（攻撃の複雑さ高）・v4.0 9.2（いずれも VulnCheck の評価）。NVD は Received で分析は未実施 - KEV 掲載なし。EPSS は未算定。修正版は未確認 - 対策は版の確認と、SMS ログイン機能の一時遮断・ログイン履歴の確認が中心（推定）。悪用の有無と導入状況は未確認 NVD は 2026-11-02 に、Go 製の管理基盤 HotGo の 2.15.1 までの版にある認証バイパス CVE-2026-120447 を登録しました。SMS ログインの認証コードを送る /admin/sms/send で、リクエストの Code フィールドにより認証コードをクライアント側が指定できるとされています。認証なしの攻撃者が、対象ユーザーの携帯番号さえ知っていれば既知のコードを設定し、/admin/site/mobileLogin からログインして管理者を含むアカウントを乗っ取れる、という内容です。 ## 何が起きるか - **種類（CWE-287）**: 認証が不適切です。本来はサーバーが生成して利用者に送るべき確認コードを、リクエストの値で上書きできます。 - **成立する条件**: 攻撃者が対象ユーザーの携帯電話番号を知っていることが前提です。CVSS v3.1 では、この前提が攻撃の複雑さ（高）に反映されています。 - **影響**: 条件が成立すると、本人確認が実質的に無効になり、管理者アカウントを含む任意のアカウントに成り済ませます。 - **評価**: CVSS v3.1 は 8.1（HIGH、AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）、v4.0 は 9.2（CRITICAL、AT:P）です。いずれも VulnCheck による評価です。 - **影響範囲**: HotGo の 2.15.1 まで（2.15.1 を含む）です。 - 攻撃の具体的な手順は、本記事では扱いません。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | CVE | CVE-2026-120447 | | CVSS v3.1（VulnCheck） | 8.1（HIGH） | | CVSS v4.0（VulnCheck） | 9.2（CRITICAL） | | NVD の状態 | Received（NVD 自身の分析は未実施） | | EPSS | 未算定（FIRST の API に該当データなし） | | KEV | 掲載なし | | 修正版 | 未確認（NVD の参考情報に修正に関するコミットへのリンクがあるが、対応版は確認できていない） | | 出典 | NVD、VulnCheck の勧告 | ## severity を high とした理由 認証不要・ネットワーク越しで、管理者アカウントの乗っ取りに直結します。一方で、成立には対象の携帯番号を知っている必要があり、CVSS v3.1 では攻撃の複雑さが高、スコアも 8.1 です。過去の判断の基準（認証不要かつ CVSS 9 以上を critical）に照らし、v3.1 が 9 未満のため high としています。v4.0 の 9.2 は参考値です。 ## 対応として考えられること 1. 組織内で HotGo を運用していないか、運用している場合は版を確認します。 2. 修正版や修正コミットの取り込み状況をプロジェクトの配布元で確認し、公開されていれば更新します（修正版は未確認）。 3. 更新までの間は、SMS ログイン（モバイルログイン）の機能をリバースプロキシなどで遮断するか、一時的に無効にすることを検討します（推定）。 4. 管理者アカウントの最近のログイン履歴を確認し、身に覚えのない SMS ログインがないか見直します（推定）。 5. 管理画面をインターネットに直接公開せず、接続元を制限します（推定）。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。 - 修正版が公開されているか、どの版で直るかは確認できていません。 - NVD の分析は未実施で、CVSS は VulnCheck の評価です。 - 製品の導入状況や、インターネットに公開されている件数は確認できていません。 ## 出典 - [NVD CVE-2026-120447](https://nvd.nist.gov/vuln/detail/CVE-2026-120447) — NIST NVD - [VulnCheck 勧告（HotGo through 2.15.1）](https://www.vulncheck.com/advisories/hotgo-through-2.15.1-authentication-bypass-via-client-set-sms-verification-code) — VulnCheck - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-120447) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/hotgo-sms-login-code-client-controlled-account-takeover-cve-2026-120447