--- title: "REDAXO core の脆弱性 2 件（CVE-2026-117532 は認証不要の認証バイパスで CVSS 9.8、CVE-2026-117536 は CSRF で 8.8）: 5.21.4 で修正" url: https://n-t-p.io/worldsecurity/articles/redaxo-core-history-plugin-auth-bypass-and-user-admin-csrf-before-5-21-4-cve-2026-117532-117536 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 緊急 cve: CVE-2026-117532, CVE-2026-117536 --- # REDAXO core の脆弱性 2 件（CVE-2026-117532 は認証不要の認証バイパスで CVSS 9.8、CVE-2026-117536 は CSRF で 8.8）: 5.21.4 で修正 > **TL;DR:** REDAXO core の脆弱性 2 件。CVE-2026-117532 は認証不要で一時ログイントークンを偽造でき管理画面侵入・コード実行につながる（CVSS 9.8）、CVE-2026-117536 は CSRF で管理者権限付与などが可能（8.8）。EPSS は 0.7% 以下、KEV なし。5.21.4 で修正。 **要点** - REDAXO core 5.3.0〜5.21.4 未満に、認証不要でログイントークンを偽造できる CVE-2026-117532 がある（CVSS v3.1 9.8） - CVE-2026-117536 は 5.21.3 未満のユーザー管理の CSRF で、管理者権限の付与などが可能（8.8） - EPSS は 0.68%／0.14%（11/1）、KEV なし。実際の悪用は未確認。NVD は評価保留（Deferred） - 5.21.4 に更新すれば両方修正。公式な回避策は未確認 - 対策は、5.21.4 への更新、管理画面のアクセス制限、管理者アカウントの確認、認証情報の再発行（一部は推定） NVD は 2026-10-27 に、PHP 製 CMS「REDAXO」のコア部分の脆弱性 2 件（CVE-2026-117532、CVE-2026-117536）を登録しました。発行元は VulnCheck です。1 件目は、ログインしていない攻撃者が管理者などの一時ログイン用トークンを偽造でき、管理画面への侵入とコード実行につながるとされる認証バイパスです。2 件目は、管理者権限の付与などを引き起こせる CSRF です。どちらも REDAXO 5.21.4 で修正されています。 ## 何が起きるか - **CVE-2026-117532（認証バイパス、CWE-287）**: structure/history プラグインで、認証されていない攻撃者が一時ログイン用のトークンを偽造できるとされています。セッションに結び付いた秘密値を予測しやすい状態に誘導し、admin などのアカウント用トークンを作って、管理画面へのアクセスを得ます。公開情報では、ライブモード以外の環境でコード実行にもつながるとされています。CVSS v3.1 は 9.8（Critical、AV:N/AC:L/PR:N/UI:N/C:H/I:H/A:H）、CVSS v4.0 は 9.3 です。 - **CVE-2026-117536（CSRF、CWE-352）**: バックエンドのユーザー管理画面で、CSRF トークンの検査が「保存」の経路でしか行われず、更新の経路では検査されていません。ユーザー管理の権限を持つログイン中の担当者が細工したリンクを開くと、管理者権限の付与、アカウントの無効化、唯一の管理者の締め出しが起こり得ます。CVSS v3.1 は 8.8（High、UI:R）、CVSS v4.0 は 8.6 です。 - 攻撃の具体的な手順は、本記事では扱いません。 ## 修正の状況 - CVE-2026-117532 は REDAXO core 5.3.0 以上 5.21.4 未満が影響を受け、**5.21.4** で修正されています。 - CVE-2026-117536 は 5.21.3 未満が影響を受け、**5.21.3** で修正されています（5.21.4 は両方を含みます）。 - 公式な回避策は確認できていません。 ## 数値と出典（2026-11-02 時点） | CVE | 種類 | 認証 | CVSS v3.1 | CVSS v4.0 | CWE | EPSS | |---|---|---|---|---|---|---| | CVE-2026-117532 | 認証バイパス（一時ログイントークンの偽造） | 不要 | 9.8 | 9.3 | CWE-287 | 0.68%（11/1） | | CVE-2026-117536 | CSRF（ユーザー管理） | 不要（操作する側の閲覧が必要） | 8.8 | 8.6 | CWE-352 | 0.14%（11/1） | - NVD の状態は 2 件とも Deferred（NVD による評価は保留）で、上の CVSS は VulnCheck の評価です。 - EPSS（FIRST）は 2026-11-01 の算出で、CVE-2026-117532 が 0.68%（パーセンタイル 52%）、CVE-2026-117536 が 0.14%（パーセンタイル 3%）です。 - KEV（CISA の悪用確認済みカタログ、2026.10.30 版・1766 件）には 2 件とも掲載がありません。実際の攻撃での悪用は確認していません。 ## severity を critical とした理由 CVE-2026-117532 は、認証不要・ネットワーク経由・低い難度で、管理画面への侵入とコード実行につながるとされ、CVSS 9.8 です。修正版（5.21.4）が公開済みで、EPSS は 0.7% 程度、KEV もありませんが、過去の判断の基準（認証不要・CVSS 9.8）に合わせて critical としています。CVE-2026-117536 は同じ版で修正されるため 1 本にまとめています。 ## 対応として考えられること 1. REDAXO を運用していないか確認し、版を調べます。 2. 5.21.4 未満であれば、5.21.4 以降に更新します。更新前にファイルとデータベースのバックアップを取ります。 3. 更新までの間、バックエンド（管理画面）へのアクセスを、IP 制限や VPN などで限定します（推定）。 4. 管理者アカウントの不審な追加・権限変更、見覚えのないログイン、テンプレートやモジュールの改ざんがないかを確認します（推定）。 5. 侵害の疑いがある場合は、管理者のパスワードとセッション、データベースなどの認証情報を再発行します（推定）。 6. ユーザー管理の権限を持つ担当者は、不審なリンクを管理画面にログインしたまま開かないようにします（推定）。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。 - 攻撃が成立する具体的な条件（設定やプラグインの有効化の要否）と、公式な回避策は確認できていません。 - CVSS は VulnCheck の評価で、NVD による評価は保留中です。 ## 出典 - [NVD CVE-2026-117532](https://nvd.nist.gov/vuln/detail/CVE-2026-117532) — NIST NVD - [NVD CVE-2026-117536](https://nvd.nist.gov/vuln/detail/CVE-2026-117536) — NIST NVD - [REDAXO セキュリティ勧告 GHSA-px8f-whj8-hrpq](https://github.com/redaxo/core/security/advisories/GHSA-px8f-whj8-hrpq) — REDAXO - [REDAXO セキュリティ勧告 GHSA-mrrj-4f5x-j958](https://github.com/redaxo/core/security/advisories/GHSA-mrrj-4f5x-j958) — REDAXO - [VulnCheck Advisory（CVE-2026-117532）](https://www.vulncheck.com/advisories/redaxo-core-5.3.0-before-5.21.4-authentication-bypass-via-history-plugin) — VulnCheck - [VulnCheck Advisory（CVE-2026-117536）](https://www.vulncheck.com/advisories/redaxo-before-5.21.3-csrf-token-bypass-via-users-users-privilege-escalation) — VulnCheck - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-117532,CVE-2026-117536) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/redaxo-core-history-plugin-auth-bypass-and-user-admin-csrf-before-5-21-4-cve-2026-117532-117536