---
title: "WebVirtCloud（bb920b0 以前）CVE-2026-122224: ログイン済みの低権限ユーザーが他人の仮想マシンを移行・削除できる恐れ（CVSS v3.1 8.1）"
url: https://n-t-p.io/worldsecurity/articles/webvirtcloud-cve-2026-122224-migrate-create-api-missing-authorization
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-122224
---

# WebVirtCloud（bb920b0 以前）CVE-2026-122224: ログイン済みの低権限ユーザーが他人の仮想マシンを移行・削除できる恐れ（CVSS v3.1 8.1）

> **TL;DR:** WebVirtCloud のコミット bb920b0 までで、仮想マシンの移行と作成の API に権限指定がなく、ログイン済みの低権限ユーザーが他人の仮想マシンを移行・削除できる恐れがある。CVSS v3.1 8.1。本家の修正版は未確認。

**要点**
- MigrateViewSet と CreateInstanceViewSet に permission_classes がなく既定の AllowAny になり、低権限ユーザーが他人の VM の移行・undefine や、任意の計算ホストでのボリューム・ドメイン作成をできる。
- ログインは必要（PR:L）・CVSS v3.1 8.1（VulnCheck 評価）のため high。KEV 掲載なし、EPSS は未付与。
- 本家の issue #689 は open のまま。フォーク catborise/webvirtcloud に管理者限定にする修正コミットがあるが、公式かは未確認。API へのアクセス制限が考えられる。
- 本家の修正版・悪用の有無・PoC・利用規模・NVD の最終評価は未確認。

WebVirtCloud（libvirt 用のウェブ管理画面。KVM の仮想マシンを管理する OSS）の、コミット bb920b0 までの版に、REST API の認可漏れが登録されました（CVE-2026-122224）。ログインしている低権限のユーザーが、他人の仮想マシンを移行・削除（undefine）したり、任意の計算ホストに新しいボリュームや仮想マシンを作ったりできるとされています。NVD への登録は 2026-11-04（状態は Deferred）です。CVSS は登録元の VulnCheck が付けた値で、NVD 自身の最終評価はまだありません。

## 何が起きるか
- 対象は `MigrateViewSet` と `CreateInstanceViewSet` の 2 つの API です。どちらにも `permission_classes`（権限の指定）がなく、Django REST Framework の既定である「誰でも許可（AllowAny）」になっていました。
- 登録情報では、攻撃にはログイン済みの低権限ユーザーであることが必要とされています（PR:L）。管理者である必要はありません。
- `/api/v1/migrate/` に要求を送ると、他のユーザーの仮想マシンを移行したり undefine（定義を削除）したりできます。計算インスタンスの作成用 API では、任意の計算ホスト上にボリュームとドメイン（仮想マシン）を作れます。
- 影響は、仮想マシンの完全性（改ざん・削除）と可用性（停止・消失）です。機密性への影響は評価されていません。

## 数値と severity
- CVSS v3.1: 8.1（HIGH、AV:N/AC:L/PR:L/UI:N、機密性なし・完全性高・可用性高）。CVSS v4.0: 7.2。いずれも VulnCheck の評価です。
- ログインが必要（PR:L）なので critical にはせず、基準どおり severity は high とします。
- CISA の KEV には載っていません（確認時点の公開カタログ）。EPSS は登録直後のため未付与でした（FIRST の API で確認）。

## 修正の状況
- 開発元（retspen/webvirtcloud）の GitHub には、この問題の報告 issue（#689）がありますが、確認時点では open のままで、本家での修正版は確認できませんでした。
- 参照先には、フォーク（catborise/webvirtcloud）の修正コミットが挙がっています。内容は、この 2 つの API と、計算ホスト・ストレージ・ネットワークなど各 API を管理者（IsAdminUser）のみに制限するものです。同じコミットには、API の出力からパスワードを除く変更、noVNC のコンソール用トークンへの署名、初期管理者パスワードの固定値をやめる変更なども含まれています。
- このフォークが公式に認められたものか、本家に取り込まれる予定があるかは確認できていません。

## 対策として考えられること
1. WebVirtCloud を使っている場合は、本家のリリースと issue #689 の状況を確認します。
2. 修正が本家に入るまでは、API（/api/v1/）へのアクセスを信頼できるネットワークや管理者に限定します。リバースプロキシなどで制限する方法が考えられます（有効性は未確認で、推定です）。
3. 一般ユーザーに WebVirtCloud のアカウントを配っている環境では、アカウントの棚卸しと、仮想マシンの移行・削除の操作ログの確認をします。
4. フォークの修正を使う場合は、公式のものではないことを理解したうえで、自己責任で検証してから導入します。

## 未確認の点
- 本家での修正版の有無と、「bb920b0 以前」のうち実際に影響を受ける版の範囲（版番号ではなくコミット指定のため）。
- 実際の悪用の有無、公開された概念実証（PoC）の有無（報告者の資料が参照先にありますが、内容は確認していません）。
- 利用規模と、実際にどこまで攻撃が通るか。
- NVD の最終評価（現在は登録元の評価のみ）。


## 出典
- [NVD CVE-2026-122224](https://nvd.nist.gov/vuln/detail/CVE-2026-122224) — NIST NVD
- [VulnCheck アドバイザリー](https://www.vulncheck.com/advisories/webvirtcloud-through-commit-bb920b0-missing-authorization-in-rest-api-migrate-and-create-endpoints) — VulnCheck
- [retspen/webvirtcloud issue #689](https://github.com/retspen/webvirtcloud/issues/689) — WebVirtCloud 開発元（GitHub）
- [フォーク catborise/webvirtcloud の修正コミット](https://github.com/catborise/webvirtcloud/commit/1227674d8f5a5230e5c654267773aca4ebc5c717) — フォーク（GitHub）
- [FIRST EPSS API](https://api.first.org/data/v1/epss?cve=CVE-2026-122224) — FIRST
- [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/webvirtcloud-cve-2026-122224-migrate-create-api-missing-authorization