SuiteCRM 7.15.2・8.10.2 より前の 31 件（CVE-2026-71550・100358・63214・97377 ほか）: ログイン済みの低権限の利用者による SQL インジェクション 16 件、API の権限確認の不備、コード実行の恐れ

オープンソースの顧客管理（CRM）ソフト SuiteCRM で、2026-11-05 に 31 件の CVE が NVD に登録されました。登録元はいずれも GitHub で、NVD の状態は Awaiting Analysis または Undergoing Analysis（分析待ち・分析中）です。すべて 7.15.2（8.x 系は 8.10.2）で修正されたと記載されています。

ほとんどは ログイン済みの利用者（PR:L） が前提で、認証なしで突ける（PR:N）のはユーザー名の探り当て 1 件だけです。ただし、最低限の権限の利用者でも、データベース全体の読み出しやサーバー上のコード実行に進める恐れのある件が含まれます。

件数の内訳

種類	件数	点数（GitHub 評価）	CVE
SQL インジェクション（ログイン済み）	16	CVSS v3.1 6.5〜8.8	100359・100365・61648・61651・61653・63214・63215・69134・69135・69136・69140・69141・69142・69145・71548・97377
API・画面の権限確認の不備	9	6.5〜8.8（100360 は v4.0 の 7.1、63111 も v4.0 の 7.1）	100360・100361・100363・100364・61650・63111・63217・63218・69144
コード実行につながる恐れ	3	9.9（71550）／ v4.0 の 9.4（100358、管理者が前提）／7.2（63213、管理者が前提）	71550・100358・63213
サーバー側リクエスト偽造（SSRF）	2	7.7	61649・69137
ユーザー名の探り当て	1	v4.0 の 6.9（PR:N）	100362

目立つもの

• CVE-2026-71550（CVSS v3.1 9.9、PR:L）: ワークフローの制御部（modules/AOW_WorkFlow/controller.php）が、パス移動を含められる aow_action の値をそのまま require_once() に渡します。「WorkFlow の役割」を持つログイン済み利用者が、実行可能な PHP を読み込ませてサーバー上でコードを動かし、CRM のデータや設定の秘密に触れ、居座り続ける足がかりを作れる恐れがあります（CWE-98）。
• CVE-2026-100358（v4.0 9.4、PR:H）: Studio のドロップダウン編集が、入力を HTML のデコードだけ通して PHP の言語ファイルに書き込み、以後のページ表示で読み込まれます。管理者が永続的な PHP を仕込め、キャッシュを消しても残る、と NVD は記載しています（CWE-94）。
• SQL インジェクション 16 件: レポート（AOR）、プロジェクト、キャンペーン、ケース、地図、旧式の REST・SOAP のインターフェースなど、入力を SQL 文に直接つなげる箇所が複数見つかっています。うち 4 件（61648・61653・69140・69141）は、入力の無害化（securexss）が「XSS 風の文字列を前置きすると、引用符を無害化しない側の文字列が選ばれる」という性質を使い、引用符が通ってしまう、と説明されています。いずれも低権限の利用者が、顧客データ・認証情報・データベースの構造を読み出す恐れがあるとされ、一部は書き換えや、実行環境次第でさらに進む恐れも記載があります。
• API の権限確認（V8 API ほか）: 管理者専用のモジュール（ACL ロールなど）の作成・変更・削除が一般のログイン済み利用者に開かれている（100363、8.8）、非表示・機密指定の項目（user_hash など）が書き込める（100361）、関連づけの作成で編集権限を見ていない（100360・61650）、スケジューラーのジョブを低権限の利用者が作れる（63111）、PDF 生成・レポート表示・文書のダウンロードで記録ごとの閲覧権限を見ていない（63217・63218・69144）などです。
• SSRF 2 件: 外部ホストの確認が部分一致のため迂回できる（61649）、カレンダー連携の接続試験で URL を検証せず curl に渡す（69137）。社内ネットワークの資源に到達される恐れがあります。
• CVE-2026-100362（v4.0 6.9、PR:N）: OAuth2 のパスワード認可の応答が、ユーザー名の誤りとパスワードの誤りで異なるため、認証なしで有効なユーザー名を探り当てられ、パスワードスプレー・総当たり・ソーシャルエンジニアリングの的を絞られます（CWE-204）。

評価

• 認証が不要なのは 1 件（点数も 6.9 で低い）で、残りはログイン済みの利用者が前提です。最高でも 9.9（PR:L）で、基準では severity は high です（PR:L は critical にしない）。
• ただし CRM には顧客の個人情報・商談・メールが集まりやすく、低権限のアカウント（外部のポータル利用者や、パスワードを流用された社員）が足がかりになると影響が大きくなります。
• FIRST の EPSS は、取得時点では確認した 4 件とも未付与でした。CISA の KEV には SuiteCRM は掲載されていません（2026-11-06 に一覧を検索）。実際の攻撃での悪用は、本稿では確認できていません。

対策として考えられること

1. SuiteCRM を 7.15.2（8.x 系は 8.10.2）以降に更新します。更新後は、カスタムの言語ファイル（custom/ 以下）に身に覚えのない PHP が入っていないかも確認します。
2. 更新までの間、外部に公開している場合は、インターネットから SuiteCRM への接続を VPN や IP 制限で絞ります。特に旧式の API（/service/v4_1/rest.php、SOAP のポータル）と V8 API が不要なら無効にするか、接続元を限ります。
3. 低権限のアカウント・ポータル利用者・API 用の認証情報を棚卸しし、使っていないものを止め、パスワードを変更します（100362 でユーザー名が知られる恐れもあります）。
4. 「WorkFlow の役割」や管理者の権限を、必要な人だけに限ります（71550・100358・63213 の前提です）。
5. ウェブサーバーとデータベースのログで、不自然な SQL の失敗、レポートやプロジェクト画面への異常な POST、/Api/V8/ への管理者モジュールの操作がないかを確認します。

未確認の点

• 実際の攻撃での悪用の有無。
• GitHub の勧告 31 件の本文、修正コミット（SuiteCRM・SuiteCRM-Core の a11f501、d6bca97）、7.15.2・8.10.2 のリリースの中身（本稿では NVD の記述のみ読みました）。
• 点数は NVD 掲載の GitHub 評価で、NVD 自身の評価はまだありません（変わる可能性があります）。
• 7.15.2・8.10.2 より前の版すべてが影響するのか、個々の CVE ごとの影響版の下限。
• 各 CVE を実際に試して再現できるか（本稿では試していません）。
• 点数が v3.1 と v4.0 で混在する件（100358・100360・63111・100362 は v4.0）の比較。