--- title: "ZITADEL の Login V2 に、認証手段のない利用者のアカウントを認証なしで乗っ取れる欠陥（CVE-2026-119128）、4.19.5 へ更新を" url: https://n-t-p.io/worldsecurity/articles/zitadel-login-v2-verificationcheck-2026-119128 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年10月30日 updated: 2026年10月30日 severity: 緊急 cve: CVE-2026-119128 --- # ZITADEL の Login V2 に、認証手段のない利用者のアカウントを認証なしで乗っ取れる欠陥（CVE-2026-119128）、4.19.5 へ更新を > **TL;DR:** NVD は 2026-10-29、ZITADEL 4.0.0 から 4.19.4 の Login V2 に、認証手段を持たない利用者のアカウントを認証なしの攻撃者が乗っ取れる欠陥（CVE-2026-119128、CVSS v4.0 9.1）があると公開した。ZITADEL は 4.19.5 で修正している。 **要点** - 認証手段をまだ持たない利用者（招待直後など）のアカウントを、認証なしの攻撃者が乗っ取れるおそれ（CVSS v4.0 9.1） - 対象は ZITADEL 4.0.0〜4.19.4 の Login V2。4.19.5 以降で修正 - 未更新の版で完全に塞ぐ設定はない。部分的な緩和は、利用者を最初の認証手段つきで作成すること ZITADEL の Login V2（ログイン画面を提供する機能）に、まだパスワードなどを設定していない利用者のアカウントを、認証なしの攻撃者が乗っ取れる欠陥（CVE-2026-119128）が見つかりました。NVD は 2026-10-29 に公開し、ZITADEL 4.0.0 から 4.19.4 までが対象です。ZITADEL は 4.19.5 で修正しています。 ## 何が問題か Login V2 は、利用者がメールアドレスや招待コードを確認したばかりであることを、verificationCheck という Cookie で覚えています。この Cookie の値が、利用者 ID とブラウザの識別用 Cookie から作った SHA-256 のハッシュだけで、サーバー側の秘密の値が入っていませんでした。そのため、攻撃者が利用者 ID またはログイン名を知っていれば、有効な値を自分で計算できてしまいます。 この偽の証明で、認証手段を一つも持たない有効な利用者（たとえば招待されたばかりの人や、API で作られてまだ一度もサインインしていない人）に対して、次のことができます。 - 確認コードなしでパスワードを設定し、その利用者としてサインインする - その利用者のパスキー（パスワードの代わりになる認証手段）を登録し、サインインする - アカウントのリンクを許す外部 ID プロバイダーが設定されていれば、攻撃者自身の外部アカウントをリンクして、サインインする 乗っ取られると、ZITADEL 上の権限と、ZITADEL でサインインしているすべてのアプリへのアクセスを奪われます。すでにパスワード・パスキー・外部 ID プロバイダーのいずれかを持つ利用者は影響を受けません。Login V2 を提供していない構成も対象外で、ZITADEL の API 自体も影響を受けないと、ZITADEL は説明しています。 ## 数値で見る | 項目 | 値 | |---|---| | CVE | CVE-2026-119128（ZITADEL の勧告番号 GHSA-84fg-x5h4-w8xv） | | 公開日 | ZITADEL の勧告 2026-10-15、NVD 2026-10-29 | | 対象 | ZITADEL 4.0.0 から 4.19.4（RC 版を含む） | | 修正版 | 4.19.5 | | CVSS v4.0 | 9.1（Critical。NVD に載る VulnCheck の値） | | CVSS v3.1 | 7.4（High。ZITADEL の勧告の値） | | 攻撃条件 | ネットワーク経由・攻撃の複雑さは高い・認証不要・利用者の操作は不要 | | CWE | CWE-565（Cookie の信頼） | CVSS は深刻さの目安（10.0 が最大）です。ZITADEL は深刻度を「High」、VulnCheck は v4.0 で「Critical」と評価していて、評価元で点数が異なります。攻撃の複雑さが「高い」のは、攻撃者が対象の利用者 ID かログイン名を知っている必要があるためです。NVD の解析状況は 2026-10-30 時点で「保留（Deferred）」です。 ## 誰が気をつけるか ZITADEL 4.x を自社で運用し、Login V2 の画面を使っている組織です。招待したがまだサインインしていない利用者や、API で作成してまだ認証手段を設定していない利用者がいる環境は、狙われやすくなります。 ## 今やること 1. 使っている ZITADEL の版を確認する。4.0.0 から 4.19.4 なら対象。 2. 4.19.5 以降へ更新する。ZITADEL は、更新が推奨の対策で、未更新の版で完全に塞ぐ設定はないとしています。 3. 更新後に、署名用の秘密の値 ZITADEL_SESSION_COOKIE_SECRET が、32 文字以上のランダムな値になっているか確認する（例: openssl rand -base64 32）。未設定だと、API の資格情報から鍵が作られます。設定例からコピーした値は使わない。 4. 更新までの間の部分的な緩和策として、利用者は最初の認証手段を設定した状態で作成し、認証手段を持たない有効な利用者を残さない。 5. 認証手段を持たない利用者が最近サインインした記録がないか、不審なパスワード設定やパスキー登録がないかを確認する（これは一般的な確認で、ZITADEL が示した手順ではありません）。 ## 用語メモ - **Cookie**: ブラウザに保存される小さなデータ。サイト側が利用者の状態を覚えるのに使う。 - **パスキー**: パスワードの代わりに使える、端末に保存された認証手段。 - **ID プロバイダー**: 別のサービスのアカウントでサインインできるようにする仕組み。 - **認証回避**: ログインの確認をすり抜けられる欠陥。 ## 出典 - [ZITADEL セキュリティ勧告 GHSA-84fg-x5h4-w8xv](https://github.com/zitadel/zitadel/security/advisories/GHSA-84fg-x5h4-w8xv) — ベンダー - [NVD CVE-2026-119128](https://nvd.nist.gov/vuln/detail/CVE-2026-119128) — NIST NVD --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/zitadel-login-v2-verificationcheck-2026-119128