---
title: "phpMyAdmin 5.2.3 までの CVE-2026-119426・119561 ほか計 4 件: CSRF 対策の抜けで任意の SQL を実行される恐れ、WebAuthn の署名を確認せず二要素認証を回避、SQL インジェクション 2 件"
url: https://n-t-p.io/worldsecurity/articles/phpmyadmin-cve-2026-119426-119561-119427-119562-csrf-sql-webauthn-2fa-bypass-sqli
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-119426, CVE-2026-119561, CVE-2026-119427, CVE-2026-119562
---

# phpMyAdmin 5.2.3 までの CVE-2026-119426・119561 ほか計 4 件: CSRF 対策の抜けで任意の SQL を実行される恐れ、WebAuthn の署名を確認せず二要素認証を回避、SQL インジェクション 2 件

> **TL;DR:** phpMyAdmin 5.2.3 までに 4 件の欠陥。CSRF 対策の抜けで任意の SQL を実行される恐れ（119426）、WebAuthn の署名未検証で二要素認証を回避（119561）、SQL インジェクション 2 件（119427・119562）。NVD 評価は 8.1〜8.8 だが認証済みか利用者の操作が前提。修正版は未確認。

**要点**
- CVE-2026-119426: 非 AJAX の POST で CSRF トークンを回避でき、ログイン中の利用者の権限で /sql に任意の SQL を送られる恐れ（CWE-352、NVD 評価 CVSS v3.1 8.8）。
- CVE-2026-119561: WebAuthn の署名を保存済みの公開鍵で検証せず、MySQL 認証情報を持つ攻撃者が第二要素を回避できる恐れ（CWE-347、NVD 評価 8.1）。
- CVE-2026-119427・119562: Designer の saveSetting() と中央列の col_extra・col_attribute から SQL を注入され、他の利用者の設定を読み書きされる恐れ（CWE-89）。
- 評価元で点数が分かれ（NVD 8.1〜8.8、VulnCheck 2.3〜7.7）、認証済みか利用者の操作が前提のため severity 案は high。
- 修正版・悪用の実態・参照先の調査記事の中身は未確認。公開環境は接続元の制限を。

phpMyAdmin（Web で MySQL・MariaDB を操作する管理ツール）の 5.2.3 までに、4 件の欠陥（**CVE-2026-119426・CVE-2026-119561・CVE-2026-119427・CVE-2026-119562**）が NVD に登録されました。登録は 2026-10-30 で、NVD は分析済み（Analyzed）としています。NVD の説明に修正版の記載はありません。

## 何が起きるか
- **CVE-2026-119426（CSRF）**: 非 AJAX の POST で CSRF トークンの確認を回避でき、ログイン中の利用者を罠のページに誘導すると、`/sql` または `/database/sql` に `sql_query` を送られ、その利用者のデータベース権限で任意の SQL が実行される恐れがあります（http・config 認証の場合）。弱点の種別は CWE-352 です。
- **CVE-2026-119561（二要素認証の回避）**: `CustomServer::parseAndValidateAssertionResponse()` が WebAuthn の署名を保存済みの公開鍵で検証していません。利用者の MySQL 認証情報を持つ攻撃者が、challenge・origin・rpIdHash が合う `webauthn_request_response` を送ると、第二要素を飛ばしてデータベース権限を得られる恐れがあります（CWE-347）。
- **CVE-2026-119427（SQL インジェクション）**: Designer の `saveSetting()` で、エスケープされない `json_encode()` の出力から SQL を注入でき、認証済みの利用者が他の利用者の Designer 設定を上書きしたり、controluser のサブクエリを実行したりできる恐れがあります。
- **CVE-2026-119562（SQL インジェクション）**: `/database/central-columns` の `col_extra`・`col_attribute` がエスケープされず、controluser の権限で `pma__central_columns` への INSERT・UPDATE に SQL を注入され、他の利用者の設定ストレージを読み書きされる恐れがあります（CWE-89）。

## 影響を受ける版
| 対象 | 影響する版 | 修正版 |
|---|---|---|
| phpMyAdmin | 5.2.3 まで | NVD の記述には記載なし（未確認） |

## 評価
| CVE | 評価元 | 版 | 点数 | ベクターの要点 |
|---|---|---|---|---|
| 119426 | NVD | CVSS v3.1 | 8.8 | AV:N/AC:L/PR:N/UI:R |
| 119426 | VulnCheck | CVSS v3.1 / v4.0 | 7.5 / 7.7 | AC:H・PR:N・UI:R |
| 119561 | NVD | CVSS v3.1 | 8.1 | AV:N/AC:L/PR:L/UI:N |
| 119561 | VulnCheck | CVSS v3.1 / v4.0 | 6.8 / 7.6 | AC:H・PR:L |
| 119427 | VulnCheck | CVSS v3.1 / v4.0 | 4.2 / 2.3 | PR:L |
| 119562 | NVD | CVSS v3.1 | 8.8 | AV:N/AC:L/PR:L/UI:N |
| 119562 | VulnCheck | CVSS v3.1 / v4.0 | 4.2 / 2.3 | AC:H・PR:L |

- 評価元で点数が大きく分かれています（NVD は 8.1〜8.8、VulnCheck は 2.3〜7.7）。利用者の操作（UI:R）や攻撃の条件（AC:H）の見方が違うためです。
- どれも認証済みの利用者、または利用者の操作が前提で、認証なしで 9 以上のものはありません。severity は **high** を案とします。確定はオーナーの判断待ちです。
- FIRST の EPSS は、取得時点（2026-11-06）で 119426 が 0.0035、119561 が 0.0020 と低い値です。CISA の KEV には、手元の状態ファイル上で掲載がありません。

## 対策として考えられること
1. phpMyAdmin の新しい版が出ていれば更新します（修正版の有無は未確認）。
2. 外部に公開している phpMyAdmin は、接続元の制限（VPN・IP 制限・Basic 認証の追加）をかけます。
3. phpMyAdmin にログインしたまま、ほかのサイトを開かないようにします（CSRF の対策）。
4. データベース利用者の認証情報を使い回さず、権限を必要最小限に絞ります（二要素認証の回避の被害を抑えるため）。
5. 設定ストレージ（pmadb）の controluser の権限を見直します。

## 未確認の点
- 修正版の有無と版番号、影響する版の下限。
- 実際の悪用の有無（NVD の記述に悪用の記載はありません）。
- 参照先の調査記事（abraxaslabs.tech）・VulnCheck の勧告の中身（本稿では開いていません）。
- 評価元ごとの点数の差と、NVD の最終評価。


## 出典
- [NVD CVE-2026-119426](https://nvd.nist.gov/vuln/detail/CVE-2026-119426) — NIST NVD
- [NVD CVE-2026-119561](https://nvd.nist.gov/vuln/detail/CVE-2026-119561) — NIST NVD
- [NVD CVE-2026-119427](https://nvd.nist.gov/vuln/detail/CVE-2026-119427) — NIST NVD
- [NVD CVE-2026-119562](https://nvd.nist.gov/vuln/detail/CVE-2026-119562) — NIST NVD
- [VulnCheck 勧告: phpMyAdmin WebAuthn 二要素認証回避（NVD の参照先。未取得）](https://www.vulncheck.com/advisories/phpmyadmin-through-5.2.3-webauthn-two-factor-authentication-bypass-via-customserver) — VulnCheck
- [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-119426,CVE-2026-119561) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/phpmyadmin-cve-2026-119426-119561-119427-119562-csrf-sql-webauthn-2fa-bypass-sqli