--- title: "CMS「SHIRASAGI」でログイン済みの利用者に OS コマンドを実行される恐れ（CVE-2026-118869・v1.19.0〜v1.21.0・v1.21.1 で修正）" url: https://n-t-p.io/worldsecurity/articles/shirasagi-cve-2026-118869-os-command-injection lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-118869, CVE-2026-117679 --- # CMS「SHIRASAGI」でログイン済みの利用者に OS コマンドを実行される恐れ（CVE-2026-118869・v1.19.0〜v1.21.0・v1.21.1 で修正） > **TL;DR:** CMS「SHIRASAGI」の v1.19.0〜v1.21.0 で、ログイン済み（低い権限）の攻撃者が OS コマンドを実行できる恐れ（CVE-2026-118869・CVSS v3.0 8.8・JVN#55454512）。同時にクロスサイトスクリプティング（CVE-2026-117679・v1.12.0〜）も公表。v1.21.1 で修正。 **要点** - JVN#55454512（2026-11-05 公開）: SHIRASAGI v1.19.0〜v1.21.0 で、認証された攻撃者が任意の OS コマンドを実行できる恐れ（CVE-2026-118869・CWE-78）。低い権限のログインは要るが、利用者の操作は不要。 - 評価は CVSS v3.0 で 8.8（v4.0 で 8.7）。PR:L のため severity 案は high。NVD 自身の評価は未実施（Received）。EPSS 0.0106、CISA KEV 掲載なし、SSVC は悪用 none。 - 同時に公表の CVE-2026-117679 は、v1.12.0〜v1.21.0 のクロスサイトスクリプティング（CVSS v3.0 5.4）。 - 修正は SHIRASAGI v1.21.1。更新前にバックアップを取り、更新できない場合は管理画面へ届く範囲と不要なアカウントを絞る。 - 入口となる機能、必要な権限、悪用の有無、v1.21.1 の公開日は未確認。本稿は公開情報の読み取りで、再現はしていない。 CMS の **SHIRASAGI**（SHIRASAGI Project）に、ログイン済みの利用者が、製品が動いているシステム上で任意の OS コマンドを実行できる恐れのある脆弱性（**CVE-2026-118869**）が公表されました。評価は CVSS v3.0 で **8.8**（CVSS v4.0 で 8.7）です。同じ公表で、クロスサイトスクリプティングの別の問題（**CVE-2026-117679**）も明らかになっています。JPCERT/CC は **JVN#55454512** として 2026-11-05 に公開しました。**修正は SHIRASAGI v1.21.1** です。 ## 内容 JVN の記載によると、次の 2 件です。 - **CVE-2026-118869（OS コマンドインジェクション・CWE-78）**: 対象は **v1.19.0 から v1.21.0 まで**。認証された攻撃者が、製品を動かしているシステム上で任意の OS コマンドを実行できる恐れがあります。攻撃には低い権限のログイン（PR:L）が要りますが、利用者の操作は要りません（UI:N）。 - **CVE-2026-117679（クロスサイトスクリプティング・CWE-79）**: 対象は **v1.12.0 から v1.21.0 まで**。認証された攻撃者が、製品を使ったサイトを開いた利用者のブラウザ上で任意のスクリプトを実行できる恐れがあります。JVN の評価は CVSS v3.0 で 5.4、v4.0 で 5.1 です。 どの機能・入力が入口か、どの権限でログインしていれば足りるかは、確認できた公表資料に書かれていません。本稿は公開情報を読んだだけで、再現はしていません。攻撃の手順は載せません。 ## 評価 | 指標 | CVE-2026-118869 | CVE-2026-117679 | |---|---|---| | CVSS v3.0（JVN・NVD の登録元 JPCERT/CC） | **8.8** `AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H` | 5.4 `AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N` | | CVSS v4.0（同） | 8.7 | 5.1 | | CWE | CWE-78 | CWE-79 | | EPSS（FIRST・11/6 時点） | 0.0106（上位約 35%） | 0.0014（上位約 97%） | | CISA KEV | 掲載なし（11/7 確認） | 掲載なし（11/7 確認） | - NVD は 2026-11-05 に両 CVE を登録しましたが、本稿の確認時点では状態が「Received」（NVD 自身の評価は未実施）で、上の点数は登録元（JPCERT/CC）の値です。 - CISA の SSVC（11/5 時点）は、悪用 none・自動化 no・技術的影響 total です。 - CVE-2026-118869 は、攻撃に低い権限のログインが要るため、当サイトの基準では critical にせず **high** を案とします。管理画面を外部に開いている場合や、権限の低い利用者アカウントを多く発行している場合は、実質のリスクが上がります。 ## 影響を受ける版と修正 - 影響: CVE-2026-118869 は **SHIRASAGI v1.19.0〜v1.21.0**、CVE-2026-117679 は **v1.12.0〜v1.21.0**。 - 修正: **SHIRASAGI v1.21.1**。JVN は、開発者の情報をもとに最新版へ更新するよう求めています。v1.21.1 の公開日と、回避策の有無は、確認できた資料に記載がなく**未確認**です。 - 報告: 情報セキュリティ早期警戒パートナーシップに基づき IPA に報告され、JPCERT/CC が開発者と調整しました。 ## 利用者が考えられること 1. SHIRASAGI を使っているか、版が v1.21.0 以前でないかを確認します。 2. v1.21.1 以降へ更新します。更新前にバックアップを取ります。 3. すぐに更新できない場合は、管理画面へ届く範囲を管理用の端末や社内のアドレスに絞り、不要なアカウントを無効にします。 4. ログインできる利用者の一覧と権限を見直し、使っていないアカウントを整理します。 5. サーバー側の不審なプロセスの起動や、想定外のファイル変更がないか、ログを確認します。 ## 未確認の点 - 攻撃の入口となる機能と、必要な権限の最低ライン。 - 悪用の有無（CISA KEV には掲載なし。SSVC は悪用 none）。 - v1.21.1 の公開日と回避策の有無。 - 実際に公開されている SHIRASAGI サイトの数と、管理画面が外部に開いている割合、NVD 自身の評価。 ## 出典 - [JVN#55454512 SHIRASAGIにおける複数の脆弱性](https://jvn.jp/jp/JVN55454512/) — JPCERT/CC（JVN） - [SHIRASAGI Project サポート情報 1743](https://www.ss-proj.org/support/1743.html) — SHIRASAGI Project - [NVD CVE-2026-118869](https://nvd.nist.gov/vuln/detail/CVE-2026-118869) — NIST NVD - [NVD CVE-2026-117679](https://nvd.nist.gov/vuln/detail/CVE-2026-117679) — NIST NVD - [CISA KEV カタログ（掲載なし）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/shirasagi-cve-2026-118869-os-command-injection