Umbraco CMS の管理画面ログインでリダイレクト先を書き換えられ、管理者セッションを奪われるおそれ（CVE-2026-117553、GitHub CVSS v3.1 8.8）: 17.7.2・18.2.2 で修正

NVD は 2026-10-27 に、.NET 製の CMS「Umbraco CMS」の脆弱性 CVE-2026-117553 を登録しました。NVD の説明では、17.7.2 未満と 18.2.2 未満が影響を受けます。管理画面（バックオフィス）のサインインの仕組みに複数の弱点があり、組み合わせると、ログイン中の管理画面ユーザーのセッションが攻撃者に渡ります。攻撃者はアカウントを持たずに準備でき、ログイン中のユーザーが攻撃者の用意したリンクを開くことが必要です。修正版は 17.7.2 と 18.2.2 で、いずれも 2026-10-27 に公開されています。

何が起きるか

• 管理画面のサインインでは、ログイン後の戻り先（リダイレクト先）をあらかじめ登録します。Host ヘッダーを細工したリクエストで、攻撃者が用意したホスト名をこの戻り先として登録できる、と NVD の説明にあります。
• 攻撃者は、ログイン中の管理画面ユーザーに認可リンクを送ります。リンクは response_mode=form_post を使い、ユーザーが開くとサインイン用のコードが攻撃者側に渡ります。攻撃者はそのコードを HTTP Basic のクライアント認証情報で引き換え、管理画面のセッションを得ます。
• 成功すると、リンクを開いたユーザーと同じ権限の管理画面セッションを得られます。管理者なら、コンテンツ・ユーザー・設定の読み取りと変更ができます。管理者向けの機能（Razor テンプレートなど）を通じてサーバー上でコードを実行できる場合もある、と勧告に書かれています。
• 影響を受けやすいのは、見知らぬホスト名宛てのリクエストがそのまま Umbraco に届く構成です。勧告は、Kestrel で直接公開している場合、IIS でホスト名のバインドがない場合、Host ヘッダーをそのまま転送するリバースプロキシの背後にある場合を例に挙げています。想定したホスト名の要求しか届かない構成は、この連鎖の全体には当たらないとされています。
• 弱点の種別は CWE-601（信頼できないサイトへのリダイレクト）、CWE-346（送信元の検証不備）、CWE-287（不適切な認証）です。

評価の状況

• NVD の状態は Awaiting Analysis で、NVD 自身の CVSS はまだありません。NVD に載っている指標は VulnCheck（Secondary）の CVSS v4.0 7.7（AV:N／AC:L／AT:P／PR:N／UI:P／VC:H／VI:H／VA:H）です。
• GitHub のセキュリティ勧告は CVSS v3.1 の 8.8（AV:N／AC:L／PR:N／UI:R／S:U／C:H／I:H／A:H）、重大度 high としています。
• EPSS は 0.0050（約 0.5%、パーセンタイル 42.5、11/1 付）です。CISA の KEV カタログ（2026.10.30 版）には載っていません。

修正の状況

• 修正版は 17.7.2 と 18.2.2 です。GitHub のリリースと NuGet の公開（Umbraco.Cms）を、どちらも 11/2 に確認しました。
• 修正は、管理画面のサインインが「リクエストを受けたホスト、または明示的に設定したホスト」への戻り先だけを受け付けるようにし、サインイン用コードを管理画面自身だけが受け取り・引き換えられるようにする内容です。修正前に設定が書き換えられていたサイトにも効くと勧告に書かれています。
• 設定で直す方法はありません。勧告が挙げる当面の軽減策は、appsettings.json の AllowedHosts を自サイトのホスト名だけにすること、Web サーバーやリバースプロキシでホスト名を明示的にバインドすること、ログイン中に信頼できない送信元の管理画面リンクを開かないことです。

対応として考えられること

1. 自組織で Umbraco CMS を使っているかを確認し、版が 17.7.1 以下または 18.2.1 以下に当たるなら、17.7.2 または 18.2.2 以降へ更新します。更新後に版数を再確認します。
2. すぐに更新できない場合は、AllowedHosts を自サイトのホスト名に限定し、プロキシや Web サーバー側でもホスト名を絞ります。
3. すでに設定が書き換えられていないかを確認します。勧告は、データベースの umbracoOpenIddictApplications テーブルで、クライアント ID が umbraco-back-office と umbraco-swagger の行の RedirectUris と PostLogoutRedirectUris を見て、自サイトのものでないホスト名がないかを見るよう案内しています。更新後は使われませんが、見つかった行は整理として削除できます。
4. 管理画面のログイン履歴や管理者操作の記録に、心当たりのない操作がないかを確認します（推定）。
5. 管理画面にログインしたまま、メールやチャットで届いたリンクを開かない運用を徹底します。

未確認の点

• 実際の攻撃での悪用は確認していません。KEV には未掲載です。
• 17.7 より前の 17.x や 16.x 以前の版が影響を受けるかは確認していません。NVD は「17.7.2 未満」、GitHub 勧告は「17.7.1 以下」「18.2.1 以下」とだけ書いており、サポート終了の版は修正の対象外の可能性があります（推定）。
• 公開サイトで該当する構成がどのくらいあるか、利用者の規模は確認していません。