CMS「SHIRASAGI」でログイン済みの利用者に OS コマンドを実行される恐れ（CVE-2026-118869・v1.19.0〜v1.21.0・v1.21.1 で修正）

CMS の SHIRASAGI（SHIRASAGI Project）に、ログイン済みの利用者が、製品が動いているシステム上で任意の OS コマンドを実行できる恐れのある脆弱性（CVE-2026-118869）が公表されました。評価は CVSS v3.0 で 8.8（CVSS v4.0 で 8.7）です。同じ公表で、クロスサイトスクリプティングの別の問題（CVE-2026-117679）も明らかになっています。JPCERT/CC は JVN#55454512 として 2026-11-05 に公開しました。修正は SHIRASAGI v1.21.1 です。

内容

JVN の記載によると、次の 2 件です。

• CVE-2026-118869（OS コマンドインジェクション・CWE-78）: 対象は v1.19.0 から v1.21.0 まで。認証された攻撃者が、製品を動かしているシステム上で任意の OS コマンドを実行できる恐れがあります。攻撃には低い権限のログイン（PR:L）が要りますが、利用者の操作は要りません（UI:N）。
• CVE-2026-117679（クロスサイトスクリプティング・CWE-79）: 対象は v1.12.0 から v1.21.0 まで。認証された攻撃者が、製品を使ったサイトを開いた利用者のブラウザ上で任意のスクリプトを実行できる恐れがあります。JVN の評価は CVSS v3.0 で 5.4、v4.0 で 5.1 です。

どの機能・入力が入口か、どの権限でログインしていれば足りるかは、確認できた公表資料に書かれていません。本稿は公開情報を読んだだけで、再現はしていません。攻撃の手順は載せません。

評価

指標	CVE-2026-118869	CVE-2026-117679
CVSS v3.0（JVN・NVD の登録元 JPCERT/CC）	8.8 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H	5.4 AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
CVSS v4.0（同）	8.7	5.1
CWE	CWE-78	CWE-79
EPSS（FIRST・11/6 時点）	0.0106（上位約 35%）	0.0014（上位約 97%）
CISA KEV	掲載なし（11/7 確認）	掲載なし（11/7 確認）

• NVD は 2026-11-05 に両 CVE を登録しましたが、本稿の確認時点では状態が「Received」（NVD 自身の評価は未実施）で、上の点数は登録元（JPCERT/CC）の値です。
• CISA の SSVC（11/5 時点）は、悪用 none・自動化 no・技術的影響 total です。
• CVE-2026-118869 は、攻撃に低い権限のログインが要るため、当サイトの基準では critical にせず high を案とします。管理画面を外部に開いている場合や、権限の低い利用者アカウントを多く発行している場合は、実質のリスクが上がります。

影響を受ける版と修正

• 影響: CVE-2026-118869 は SHIRASAGI v1.19.0〜v1.21.0、CVE-2026-117679 は v1.12.0〜v1.21.0。
• 修正: SHIRASAGI v1.21.1。JVN は、開発者の情報をもとに最新版へ更新するよう求めています。v1.21.1 の公開日と、回避策の有無は、確認できた資料に記載がなく未確認です。
• 報告: 情報セキュリティ早期警戒パートナーシップに基づき IPA に報告され、JPCERT/CC が開発者と調整しました。

利用者が考えられること

1. SHIRASAGI を使っているか、版が v1.21.0 以前でないかを確認します。
2. v1.21.1 以降へ更新します。更新前にバックアップを取ります。
3. すぐに更新できない場合は、管理画面へ届く範囲を管理用の端末や社内のアドレスに絞り、不要なアカウントを無効にします。
4. ログインできる利用者の一覧と権限を見直し、使っていないアカウントを整理します。
5. サーバー側の不審なプロセスの起動や、想定外のファイル変更がないか、ログを確認します。

未確認の点

• 攻撃の入口となる機能と、必要な権限の最低ライン。
• 悪用の有無（CISA KEV には掲載なし。SSVC は悪用 none）。
• v1.21.1 の公開日と回避策の有無。
• 実際に公開されている SHIRASAGI サイトの数と、管理画面が外部に開いている割合、NVD 自身の評価。