WebVirtCloud（bb920b0 以前）CVE-2026-122224: ログイン済みの低権限ユーザーが他人の仮想マシンを移行・削除できる恐れ（CVSS v3.1 8.1）

WebVirtCloud（libvirt 用のウェブ管理画面。KVM の仮想マシンを管理する OSS）の、コミット bb920b0 までの版に、REST API の認可漏れが登録されました（CVE-2026-122224）。ログインしている低権限のユーザーが、他人の仮想マシンを移行・削除（undefine）したり、任意の計算ホストに新しいボリュームや仮想マシンを作ったりできるとされています。NVD への登録は 2026-11-04（状態は Deferred）です。CVSS は登録元の VulnCheck が付けた値で、NVD 自身の最終評価はまだありません。

何が起きるか

• 対象は MigrateViewSet と CreateInstanceViewSet の 2 つの API です。どちらにも permission_classes（権限の指定）がなく、Django REST Framework の既定である「誰でも許可（AllowAny）」になっていました。
• 登録情報では、攻撃にはログイン済みの低権限ユーザーであることが必要とされています（PR:L）。管理者である必要はありません。
• /api/v1/migrate/ に要求を送ると、他のユーザーの仮想マシンを移行したり undefine（定義を削除）したりできます。計算インスタンスの作成用 API では、任意の計算ホスト上にボリュームとドメイン（仮想マシン）を作れます。
• 影響は、仮想マシンの完全性（改ざん・削除）と可用性（停止・消失）です。機密性への影響は評価されていません。

数値と severity

• CVSS v3.1: 8.1（HIGH、AV:N/AC:L/PR:L/UI:N、機密性なし・完全性高・可用性高）。CVSS v4.0: 7.2。いずれも VulnCheck の評価です。
• ログインが必要（PR:L）なので critical にはせず、基準どおり severity は high とします。
• CISA の KEV には載っていません（確認時点の公開カタログ）。EPSS は登録直後のため未付与でした（FIRST の API で確認）。

修正の状況

• 開発元（retspen/webvirtcloud）の GitHub には、この問題の報告 issue（#689）がありますが、確認時点では open のままで、本家での修正版は確認できませんでした。
• 参照先には、フォーク（catborise/webvirtcloud）の修正コミットが挙がっています。内容は、この 2 つの API と、計算ホスト・ストレージ・ネットワークなど各 API を管理者（IsAdminUser）のみに制限するものです。同じコミットには、API の出力からパスワードを除く変更、noVNC のコンソール用トークンへの署名、初期管理者パスワードの固定値をやめる変更なども含まれています。
• このフォークが公式に認められたものか、本家に取り込まれる予定があるかは確認できていません。

対策として考えられること

1. WebVirtCloud を使っている場合は、本家のリリースと issue #689 の状況を確認します。
2. 修正が本家に入るまでは、API（/api/v1/）へのアクセスを信頼できるネットワークや管理者に限定します。リバースプロキシなどで制限する方法が考えられます（有効性は未確認で、推定です）。
3. 一般ユーザーに WebVirtCloud のアカウントを配っている環境では、アカウントの棚卸しと、仮想マシンの移行・削除の操作ログの確認をします。
4. フォークの修正を使う場合は、公式のものではないことを理解したうえで、自己責任で検証してから導入します。

未確認の点

• 本家での修正版の有無と、「bb920b0 以前」のうち実際に影響を受ける版の範囲（版番号ではなくコミット指定のため）。
• 実際の悪用の有無、公開された概念実証（PoC）の有無（報告者の資料が参照先にありますが、内容は確認していません）。
• 利用規模と、実際にどこまで攻撃が通るか。
• NVD の最終評価（現在は登録元の評価のみ）。