Kestra OSS に認証なしでワークフローを作成・実行できる脆弱性（CVE-2026-49869）: CVSS 10.0、CISA KEV に追加済み

Kestra OSS（オープンソースのワークフロー実行基盤）に、認証なしのリモートの攻撃者が認証を回避し、任意のワークフローを作成・実行できる脆弱性（CVE-2026-49869）が公表されました。AuthenticationFilter が公開設定エンドポイントを許可する際、パスの末尾が /configs かどうかだけを確認しており、最後の区切りが configs であれば別の API でも認証が不要になります。Kestra はシェルや Python などのスクリプト実行プラグインを既定で有効にしているため、ワーカーコンテナー内で root 権限のコード実行に至ります。CISA は 2026-09-02 に KEV（悪用が確認された脆弱性）カタログへ追加しています。採番元（GitHub セキュリティアドバイザリー）の CVSS v3.1 は 10.0（AV:N/AC:L/PR:N/UI:N/S:C）です。

概要

項目	内容
CVE	CVE-2026-49869
問題	認証フィルターが「パスの末尾が /configs」で公開エンドポイントを判定するため、末尾が configs の任意の API で認証を回避できる。未認証でワークフローを作成・実行でき、RCE に至る（CWE-78・CWE-184・CWE-287・CWE-918）
対象製品	Kestra OSS 1.0.45 未満の 1.0 系、および 1.3.21 未満の 1.3 系
修正版	1.0.45 および 1.3.21
CVSS v3.1	10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）。採番元の評価
NVD の状態	Analyzed
EPSS	0.0210（パーセンタイル 0.817、2026-11-02 時点）
CISA KEV	2026-09-02 追加。対応期限 2026-09-05。ランサムウェア利用は「不明」。フォレンジック調査の対象（Forensic Triage: Yes）

なぜ重要か

Kestra はデータ処理や業務の自動化の司令塔として使われ、クラウドの認証情報、データベースの接続情報、各種 API キーを扱うことが多い製品です。認証が不要でネットワーク越しに攻撃でき、既定の設定のまま root 相当でコードを実行されるため、取り込まれると連携先の環境へ被害が広がるおそれがあります。EPSS は 0.02 と高くはありませんが、悪用が確認済みのため優先して対処する対象です。

対策

• 自組織の Kestra OSS の版を確認し、1.0.45 または 1.3.21 以降へ更新する。
• 更新までの間は、Kestra の API とウェブ画面をインターネットへ直接公開せず、VPN や許可した IP アドレスに限定する。リバースプロキシー側で、末尾が /configs の想定外のリクエストを遮断することも一時的な緩和になりうる。
• KEV の対応期限（2026-09-05）はすでに過ぎている。CISA はフォレンジック調査を求めているため、更新前に身に覚えのないワークフロー、フロー、実行履歴、新規のトリガーや認証情報の参照がないかを確認する。
• 侵害の疑いがあれば、Kestra に保存されたシークレット、連携先のクラウド認証情報、API キーを更新する。

数値と出典（2026-11-03 時点）

項目	内容
NVD	Analyzed。CVSS v3.1 10.0（GitHub セキュリティアドバイザリー）
CWE	CWE-78、CWE-184、CWE-287、CWE-918（KEV 記載）
EPSS	0.0210（FIRST、2026-11-02）
KEV	2026-09-02 追加、期限 2026-09-05
出典	NVD、Kestra 勧告（GHSA-5vc5-wxxq-3fjx）、CISA KEV、FIRST

未確認の点

• 悪用の規模、攻撃者、ランサムウェアでの利用の有無（KEV では「不明」）。
• 1.1・1.2 系など、上記以外の版が影響を受けるか、修正版が用意されているか。
• 有償版（Enterprise Edition）への影響。