しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

プリザンターLDAP脆弱性とは？対象環境と1.5.9.1への更新を一次情報で解説（2026年10月23日公表）

・ 更新 ・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングプリザンターLDAP認証

この記事のポイント: JPCERT/CC（JVN）は2026年10月23日、プリザンターの LDAP 認証にパスワード検証を省いて認証成功と判定される不備（CVE-2026-113438・CVSS 6.5）があると注意喚起しました。修正版は 1.5.9.1 で、対象構成の環境は速やかな更新が対策です。

プリザンターLDAP脆弱性とは？対象環境と1.5.9.1への更新を一次情報で解説（2026年10月23日公表）

ノーコード開発ツール「プリザンター」（株式会社インプリム）の LDAP 認証に、パスワード検証を省いて認証成功と判定される不備（CVE-2026-113438、CVSS 3.0 基本値 6.5）が見つかり、修正版 1.5.9.1 が 2026年10月23日に公開されました（出典: JVN（JVN#82312317））。有効なログイン ID を知る第三者が、パスワードなしでそのユーザーとしてログインできる恐れがあります。該当する構成の環境では、1.5.9.1 以降への速やかなバージョンアップが対策になります（出典: 株式会社インプリム）。

何が起きたか（要点）

JPCERT/CC は2026年10月23日、プリザンターの LDAP 認証における認証処理内の重要な手順の欠如（CWE-304）を JVN#82312317・CVE-2026-113438 として注意喚起しました（出典: JVN）。LDAP 認証を設定している環境で細工されたリクエストを認証処理に送ると、パスワードを正しく検証しないまま認証成功と判定される問題です（出典: 株式会社インプリム）。開発者から IPA へ報告され、JPCERT/CC が開発者との調整を実施しました（出典: JVN）。

影響（何が起きるか）

有効なログイン ID を知る第三者が、パスワードなしでそのユーザーの権限でログインでき、登録情報の閲覧・改ざん・削除が生じる可能性があります（出典: JVN）。ログイン画面にアクセスできる第三者であれば、特別な権限や準備なしに悪用可能と開発者が説明しています（出典: 株式会社インプリム）。

自分の環境が該当するか（対象構成の確認）

脆弱性が成立するのは、次の 2 つの条件を両方満たす環境です（出典: JVN・株式会社インプリム）。

対象外の構成も公表されています（出典: 株式会社インプリム）。

管理者が今やること（1.5.9.1 への更新）

該当する構成の環境では、1.5.9.1 以降へのバージョンアップが対策です。修正版は 2026年10月23日に公開されました（出典: 株式会社インプリム）。1.5.9.0（2026年10月13日リリース）には修正が含まれていないため、直近に更新した環境も含めて 1.5.9.1 の適用が必要です（出典: 株式会社インプリム）。

  1. Authentication.json の「DsProvider」の設定内容を確認し、上記の対象構成に該当するかを判定する（設定の詳細は開発者のマニュアル authentication-json のページ）
  2. 該当する場合、バージョンアップ手順（pleasanter.org/ja/manual/setup/version-up-migration/version-up-manually/）または環境移行のマニュアルに従って 1.5.9.1 以降へ更新する
  3. バージョンアップが難しい場合は、開発者が個別に対応方法を案内するとしており、公表されている汎用的な回避策（ワークアラウンド）は記載されていない（出典: 株式会社インプリム。JVN も「アップデートが難しい場合、開発者が適用を推奨」と案内・https://jvn.jp/jp/JVN82312317/）
  4. サポートユーザーは専用の Web 問い合わせ窓口でバージョンアップの相談が可能（出典: 株式会社インプリム）

LDAP 認証を使う環境では、パスワードが漏れていなくても不正ログインが成立する恐れがあるため、更新後もログイン ID の把握と認証ログの確認が有効です（読者への一般論としての案内）。

ベンダー対応の現状

開発者の株式会社インプリムは2026年10月23日に「プリザンターのLDAP認証における認証回避の脆弱性」として情報を公開し、修正版 1.5.9.1 をリリースしました（出典: 株式会社インプリム）。不明点はお問い合わせフォーム（pleasanter.org/contact/）への連絡が案内されています。CVE 番号は開発者の公表ページには記載がなく、JVN（JVN#82312317）で確認できます。

よくある質問

Q. プリザンターを使っているが、自分の環境が該当するか分からない

Linux 環境（Docker 版を含む）で動かしているか、Windows 環境で DsProvider に「Novell」を指定して LDAP 認証を設定しているかを確認してください（出典: JVN）。Windows 環境で DsProvider が既定値（null）なら対象外です（出典: 株式会社インプリム）。

Q. パスワードを知らない人にログインされるのですか？

はい。条件を満たす環境では、有効なログイン ID を知る第三者がパスワードなしでそのユーザーとしてログインでき、登録情報の閲覧・改ざん・削除が生じる可能性があります（出典: JVN）。ログイン画面にアクセスできる第三者であれば悪用可能と開発者が説明しています（出典: 株式会社インプリム）。

Q. 二段階認証を設定していれば防げますか？

開発者の公表では、二段階認証（メール・TOTP）・SAML 認証・パスキー認証・統合 Windows 認証は影響を受けないとされています（出典: 株式会社インプリム）。ただし LDAP 認証でログインする経路自体が対象のため、1.5.9.1 以降への更新が根本的な対策です。

Q. 修正版はいつ出ますか？

2026年10月23日に 1.5.9.1 がリリース済みです。1.5.9.0 には修正が含まれていないため、1.5.9.0 利用者も 1.5.9.1 以降への更新が必要です（出典: 株式会社インプリム）。

本サイトでは、アカウント乗っ取りが疑われるときの初動や被害拡大を防ぐ手順を対処ガイドにまとめています（内部リンク: アカウント乗っ取り対処ガイド）。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針