GROWIの3つの脆弱性とは？影響バージョンとv8.0.7への更新を解説（2026年10月27日）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングGROWI脆弱性アップデート

JVNは2026年10月27日、株式会社GROWIが提供するウィキソフトウェア「GROWI」に複数の脆弱性があると公表しました（JVN#51223238）。脆弱性は3件（CVE-2026-105272・CVE-2026-109848・CVE-2026-115624）で、いずれも認可処理の不備によるもので、閲覧権限のないページの本文やコメントが取得されたり、下書きが書き換えられたりするおそれがあります。対策はGROWI v8.0.7への更新です。

この記事では、3つの脆弱性のそれぞれの内容と影響するバージョン、すぐにできる応急対策（ゲストアクセス設定の見直し）、更新の手順を、JVNとGROWI公式告知の一次情報だけで整理します。出典はすべて2026年10月27日に取得したものです。

今回の脆弱性の要点

JVNの公表によると、GROWIの3つの機能に認可処理の不備があり、影響するのはいずれもv8.0.6までのバージョンです。3件のうち最も深刻なのは同時編集機能の問題（CVSS v3.0 基本値5.3）で、ログインしていないゲストユーザーでもページの下書きを書き換えられる可能性があります。出典: JVN#51223238、2026年10月27日取得。

• CVE-2026-105272: ページ表示・コメント機能の認可回避（v3.2.10〜v8.0.6、CVSS v4.0 2.3 / v3.0 4.2）
• CVE-2026-109848: タグ更新API・ページ更新APIの認可回避（v4.5.5〜v8.0.6、CVSS v4.0 2.3 / v3.0 4.2）
• CVE-2026-115624: 同時編集機能の認可欠如（v7.0.0〜v8.0.6、CVSS v4.0 6.9 / v3.0 5.3・ゲストユーザーも対象）
• 対策: GROWI v8.0.7への更新（GitHub・Docker Hubから入手）

3つのCVEの内容と、何が起こるか

CVE-2026-105272は、ページ表示機能およびコメント機能で、ユーザーが制御可能な値による認可処理の回避ができる問題（CWE-639）です。当該製品にログイン可能な攻撃者によって、閲覧権限のないページの本文およびコメントが取得されるおそれがあります。出典: JVN#51223238、2026年10月27日取得。

CVE-2026-109848は、タグ更新APIおよびページ更新APIで同じく認可処理の回避ができる問題（CWE-639）です。ログイン可能な攻撃者が、閲覧権限のないページの本文を取得し、自身が編集可能なページに保存されるおそれがあります。出典: JVN#51223238、2026年10月27日取得。

CVE-2026-115624は、同時編集機能における認可処理の欠如（CWE-862）で、3件の中でCVSSスコアが最も高い（CVSS v4.0 基本値6.9 / v3.0 基本値5.3）問題です。認証が不要（PR:N）で、閲覧のみ許可されているユーザーや、承認待ち・停止中・招待中のユーザー、さらにゲストユーザーがページの下書きを書き換えられるおそれがあります。GROWI公式告知では、書き換えられた下書きは、正規ユーザーがエディタで保存するとそのユーザーの名前で履歴に記録されると説明しています。出典: JVN#51223238・GROWI公式、2026年10月27日取得。

影響を受ける条件とバージョン

影響を受けるのは、それぞれのCVEに対応するバージョン範囲のGROWIです。CVE-2026-105272はv3.2.10からv8.0.6まで、CVE-2026-109848はv4.5.5からv8.0.6まで、CVE-2026-115624はv7.0.0からv8.0.6までが対象です。修正版はv8.0.7で、同時編集機能については版の確認処理の追加と、同時編集接続開始時の編集権限確認が行われています。出典: JVN#51223238・GROWI公式、2026年10月27日取得。

GROWIは社内ナレッジベースやドキュメント管理として利用されることが多く、閲覧権限を細かく分けて運用している環境では、権限のないページの内容が内部の他ユーザーに漏れる・下書きが勝手に書き換えられるといった影響が現実になりやすい点に注意が必要です。

利用者が今すべき確認と対策

1. 利用中のGROWIのバージョンを確認します。管理画面またはリリースノートで確認でき、v8.0.6以前であれば3件のいずれか（または全部）の影響を受けます。
2. 開発者が提供する情報をもとに、v8.0.7へアップデートします。JVNは「開発者が提供する情報をもとに、最新版へアップデートしてください」と案内しており、更新版はGitHubとDocker Hubから入手できます。出典: JVN#51223238・GROWI公式、2026年10月27日取得。
3. すぐにアップデートできない場合は、ゲストアクセスの設定を見直します。GROWI公式告知では、管理画面のセキュリティ設定（/admin/security）でゲストアクセスを「拒否」に設定することで、未ログインゲストによる下書きの書き換えを防止できるとしています。また、ゲストが閲覧できるページの下書きは、保存前に内容確認が推奨されています。出典: GROWI公式、2026年10月27日取得。

更新後は、閲覧権限を制限したページが意図どおり保護されていること、同時編集の開始時に権限確認が働いていることを確認してください。公式情報にない回避策を恒久対策とせず、v8.0.7への更新が本対応です。

よくある質問

Q. GROWIのどのバージョンまでが対象ですか？

v8.0.6までのバージョンが対象です。CVEごとの対象範囲は、CVE-2026-105272がv3.2.10から、CVE-2026-109848がv4.5.5から、CVE-2026-115624がv7.0.0から始まります。修正バージョンはv8.0.7です。出典: JVN#51223238、2026年10月27日取得。

Q. ゲストユーザーが下書きを書き換える脆弱性はどう防げますか？

v8.0.7への更新が本対応です。更新できない間の応急対策として、GROWI公式は管理画面のセキュリティ設定（/admin/security）でゲストアクセスを「拒否」に設定する方法を案内しています。出典: GROWI公式、2026年10月27日取得。

Q. v8.0.7への更新版はどこから入手できますか？

GROWI公式告知では、更新版の入手先としてGitHub（https://github.com/growilabs/growi）とDocker Hub（https://hub.docker.com/r/growilabs/growi/）が案内されています。出典: GROWI公式、2026年10月27日取得。

出典: JVN#51223238「GROWIにおける複数の脆弱性」（2026年10月27日取得）／GROWI公式「GROWI 脆弱性対応のお知らせ (JVN#51223238)」（2026年10月27日取得）。ROOT TEAMは、アカウント乗っ取りやパスワード流出の被害に遭われた方向けに、被害後の初動手順をまとめた対処ガイドを公開しています。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針