---
title: "Kestra OSS に認証なしでワークフローを作成・実行できる脆弱性（CVE-2026-49869）: CVSS 10.0、CISA KEV に追加済み"
url: https://n-t-p.io/worldsecurity/articles/kestra-oss-cve-2026-49869-auth-bypass-rce-kev
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月3日
updated: 2026年11月3日
severity: 緊急
cve: CVE-2026-49869
---

# Kestra OSS に認証なしでワークフローを作成・実行できる脆弱性（CVE-2026-49869）: CVSS 10.0、CISA KEV に追加済み

> **TL;DR:** Kestra OSS に、認証なしで認証を回避してワークフローを作成・実行でき、root 権限のコード実行に至る脆弱性（CVE-2026-49869、CVSS v3.1 10.0）。CISA KEV に 2026-09-02 追加済み。1.0.45 または 1.3.21 以降へ更新し、公開範囲を限定して侵害の有無を点検する。

**要点**
- CVE-2026-49869: 認証フィルターのパス判定の不備により、末尾が /configs の API で認証を回避し、ワークフローを作成・実行できる
- 採番元の CVSS v3.1 は 10.0（AV:N/AC:L/PR:N/UI:N/S:C）、NVD は Analyzed。対象は 1.0.45 未満・1.3.21 未満
- CISA KEV に 2026-09-02 追加（期限 09-05）。フォレンジック調査の対象、ランサム利用は不明、EPSS 0.021
- 1.0.45 または 1.3.21 以降へ更新し、API の公開を止めて身に覚えのないワークフローを点検する。有償版や他の版は未確認

Kestra OSS（オープンソースのワークフロー実行基盤）に、認証なしのリモートの攻撃者が認証を回避し、任意のワークフローを作成・実行できる脆弱性（CVE-2026-49869）が公表されました。AuthenticationFilter が公開設定エンドポイントを許可する際、パスの末尾が `/configs` かどうかだけを確認しており、最後の区切りが `configs` であれば別の API でも認証が不要になります。Kestra はシェルや Python などのスクリプト実行プラグインを既定で有効にしているため、ワーカーコンテナー内で root 権限のコード実行に至ります。CISA は 2026-09-02 に KEV（悪用が確認された脆弱性）カタログへ追加しています。採番元（GitHub セキュリティアドバイザリー）の CVSS v3.1 は 10.0（AV:N/AC:L/PR:N/UI:N/S:C）です。

## 概要

| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-49869 |
| 問題 | 認証フィルターが「パスの末尾が /configs」で公開エンドポイントを判定するため、末尾が configs の任意の API で認証を回避できる。未認証でワークフローを作成・実行でき、RCE に至る（CWE-78・CWE-184・CWE-287・CWE-918） |
| 対象製品 | Kestra OSS 1.0.45 未満の 1.0 系、および 1.3.21 未満の 1.3 系 |
| 修正版 | 1.0.45 および 1.3.21 |
| CVSS v3.1 | 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）。採番元の評価 |
| NVD の状態 | Analyzed |
| EPSS | 0.0210（パーセンタイル 0.817、2026-11-02 時点） |
| CISA KEV | 2026-09-02 追加。対応期限 2026-09-05。ランサムウェア利用は「不明」。フォレンジック調査の対象（Forensic Triage: Yes） |

## なぜ重要か

Kestra はデータ処理や業務の自動化の司令塔として使われ、クラウドの認証情報、データベースの接続情報、各種 API キーを扱うことが多い製品です。認証が不要でネットワーク越しに攻撃でき、既定の設定のまま root 相当でコードを実行されるため、取り込まれると連携先の環境へ被害が広がるおそれがあります。EPSS は 0.02 と高くはありませんが、悪用が確認済みのため優先して対処する対象です。

## 対策

- 自組織の Kestra OSS の版を確認し、1.0.45 または 1.3.21 以降へ更新する。
- 更新までの間は、Kestra の API とウェブ画面をインターネットへ直接公開せず、VPN や許可した IP アドレスに限定する。リバースプロキシー側で、末尾が `/configs` の想定外のリクエストを遮断することも一時的な緩和になりうる。
- KEV の対応期限（2026-09-05）はすでに過ぎている。CISA はフォレンジック調査を求めているため、更新前に身に覚えのないワークフロー、フロー、実行履歴、新規のトリガーや認証情報の参照がないかを確認する。
- 侵害の疑いがあれば、Kestra に保存されたシークレット、連携先のクラウド認証情報、API キーを更新する。

## 数値と出典（2026-11-03 時点）

| 項目 | 内容 |
|---|---|
| NVD | Analyzed。CVSS v3.1 10.0（GitHub セキュリティアドバイザリー） |
| CWE | CWE-78、CWE-184、CWE-287、CWE-918（KEV 記載） |
| EPSS | 0.0210（FIRST、2026-11-02） |
| KEV | 2026-09-02 追加、期限 2026-09-05 |
| 出典 | NVD、Kestra 勧告（GHSA-5vc5-wxxq-3fjx）、CISA KEV、FIRST |

## 未確認の点

- 悪用の規模、攻撃者、ランサムウェアでの利用の有無（KEV では「不明」）。
- 1.1・1.2 系など、上記以外の版が影響を受けるか、修正版が用意されているか。
- 有償版（Enterprise Edition）への影響。


## 出典
- [NVD CVE-2026-49869](https://nvd.nist.gov/vuln/detail/CVE-2026-49869) — NIST NVD
- [Kestra セキュリティアドバイザリー GHSA-5vc5-wxxq-3fjx](https://github.com/kestra-io/kestra/security/advisories/GHSA-5vc5-wxxq-3fjx) — Kestra
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-49869) — CISA
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-49869) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/kestra-oss-cve-2026-49869-auth-bypass-rce-kev