MacCMS v10 の認証なしアカウント乗っ取り CVE-2026-116214（CVSS 9.1）: パスワード回復コードが宛先に結び付かない。2026.1000.4054 で修正

NVD は 2026-10-26 に、コンテンツ管理システム「MacCMS v10」の脆弱性（CVE-2026-116214）を登録しました。パスワード回復コードの検証で送信先との照合が行われないため、認証されていない攻撃者が任意の会員のパスワードを再設定できるとされています。2026.1000.4054 より前が影響を受けます。

何が起きるか

• CVE-2026-116214（パスワード回復の不備、CWE-640）: 回復コードの検証処理（check_msg）が、コードの送信先（msg_to）を比較しません。攻撃者は自分のメールボックスに回復コードを送らせ、そのコードを被害者のメールアドレスまたは電話番号とともに再設定の処理へ送ると、被害者のアカウントを乗っ取れるとされています。
• 認証なしの遠隔の攻撃者が、任意の会員アカウントのパスワードを書き換えられます。管理者アカウントが会員として扱われる構成かどうかは、確認できていません。
• CVSS v3.1 は 9.1（Critical、AV:N/AC:L/PR:N/UI:N/C:H/I:H/A:N）、v4.0 は 9.3 です。
• 攻撃の具体的な手順は、本記事では扱いません。

修正の状況

• 影響を受けるのは 2026.1000.4054 より前 で、同版以降で修正されています。
• 公式な回避策は確認できていません。

数値と出典（2026-11-02 時点）

CVE	種類	認証	CVSS v3.1 / v4.0	CWE	EPSS
CVE-2026-116214	パスワード回復コードの宛先未照合による乗っ取り	不要	9.1 / 9.3	CWE-640	0.46%（パーセンタイル 39.7%、11/1）

• NVD の状態は Deferred（NVD 自身の評価は未実施）で、CVSS は CNA（VulnCheck）が付けた値です。
• KEV（CISA の悪用確認済みカタログ、2026.10.30 版・1766 件）には掲載がありません。実際の攻撃での悪用は確認していません。

severity を critical とした理由

認証不要・ネットワーク経由・低い難度で、任意の会員アカウントを乗っ取れ、CVSS 9.1 です。EPSS は低く KEV もなく、影響は会員機能を有効にしている環境に限られますが、過去の判断の基準（認証不要・CVSS 9.0 以上）に合わせて critical としています。ただし、実際の深刻さは、会員アカウントに与えている権限に左右されます。

対応として考えられること

1. MacCMS v10 を使っていないか確認し、版を調べます。
2. 2026.1000.4054 より前であれば、同版以降に更新します。
3. 更新までの間、会員のパスワード回復機能（findpass 系の経路）を、前段のサーバーやWAFで止めることを検討します（推定）。
4. 更新前の期間に、見覚えのないパスワード再設定や、回復コードの大量送信が無かったか、ログを確認します（推定）。
5. 不審があれば、該当会員のパスワードを再設定し、セッションを失効させます（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。
• 管理者アカウントへの影響、会員機能を無効にした構成での挙動は確認できていません。
• NVD 自身の評価は未実施で、CVSS は CNA の値です。