しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

baserCMSの複数脆弱性とは？ 2FA総当たりとSQLiの対策版5.4.1（2026年9月25日公表）

・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングbaserCMSCMS

この記事のポイント: JPCERT/CCは2026年9月25日、baserCMSユーザー会が提供するCMS「baserCMS」に認証の欠如・SQLインジェクション・XSSなど複数の脆弱性があると公表しました。対策は5.4.1以上（5.3系は5.3.1以上・5.2系は5.2.10以上）への更新です。管理画面2要素認証コードの総当たり問題も同時公表されています。

baserCMSの複数脆弱性とは？ 2FA総当たりとSQLiの対策版5.4.1（2026年9月25日公表）

JPCERT/CCは2026年9月25日、baserCMSユーザー会が提供する国産CMS「baserCMS」に、認証が無い重要な機能へのアクセス（CVE-2026-93462）やSQLインジェクション（CVE-2026-62956）、XSSなど複数の脆弱性があると公表しました。対象はbaserCMS 5.0.0〜5.4.0で、開発者告知には管理画面の2要素認証コードの総当たり（試行回数制限の欠如）も含まれています。対策は最新版への更新です。5.4系は5.4.1以上、5.3系は5.3.1以上、5.2系は5.2.10以上へ上げてください（出典: JVN、2026年9月25日取得）。

何が起きたか（要点）

この公表は、三井物産セキュアディレクション株式会社の研究者がIPAへ報告し、JPCERT/CCが開発者（baserCMSユーザー会）と調整して2026年9月25日に公開したものです（JVN ID: JVN#14353754）。開発者の告知ページ（2026年9月24日公開）では、JVNに載った4件に加えて、未認証SQLインジェクションやパス・トラバーサル、2要素認証コードの総当たりなど計10件の修正が列挙されています（出典: baserCMSユーザー会、2026年9月25日取得）。

脆弱性ごとの内容（JVN公表の5件）

管理画面2要素認証コードの総当たり問題

開発者告知（GHSA-pqvq-3jg5-27x4）には、管理画面の2要素認証コードに「試行回数制限の欠如」がある問題が含まれています（出典: baserCMSユーザー会、2026年9月25日取得）。2要素認証は「パスワードが漏れていても、端末に届く認証コードが無ければログインできない」という防御です。しかしコードの入力に試行回数の制限が無いと、攻撃者がコードの桁の組み合わせを繰り返し試す余地が生まれます。パスワード流出のあとにこの問題で管理画面への不正ログインが成立すると、サイトの改ざんや登録情報の閲覧につながります。2要素認証を有効にしているサイトでも、この問題への対応として更新が必要です。

今すべきこと（運用者の手順）

  1. baserCMS を最新版へ更新します。目安は 5.4.1 以上（5.3系は 5.3.1 以上・5.2系は 5.2.10 以上）。更新の案内は開発者のセキュリティ情報ページにあります（出典: baserCMSユーザー会、2026年9月25日取得）。
  2. 開発者告知の各項目を確認して、自分のサイトが対応対象かを確かめます。XSS・パス・トラバーサル・秘密鍵の権限の問題は「管理画面を不特定多数に公開している」「共用サーバーでMCP機能を利用している（5.4.0 のみ）」などの条件付きです。
  3. 更新までの間は、管理画面の公開範囲を制限します（IP制限・ Basic認証など）。管理画面のURLを不特定多数に公開したままにしないことが、認証への総当たりや未認証アクセスの直接的な窓を減らします。
  4. baserCMS 用プラグイン「アドオンマイグレーター（BcAddonMigrator）」を利用しているサイトは、5.2.1 へ更新します。同じ2026年9月25日に、管理者権限でログイン可能な攻撃者が任意ファイルの読み取り・削除をできた問題（CVE-2026-97150・CVSS v4.0 8.6、JVN#21754394）が公表されています（出典: JVN、2026年9月25日取得）。
  5. 管理画面アカウントのパスワードを他のサービスと使い回している場合は、更新後に変更します。使い回しのパスワードは他のサイトの流出からログインに使われる（パスワードリスト攻撃）入口になるため、 CMSの管理画面と利用者アカウントの両方に効く予防です。

よくある質問

Q. baserCMSの複数の脆弱性とはどのような問題ですか？

baserCMS 5.0.0〜5.4.0 にあり、認証が無い重要な機能へのアクセス（CVE-2026-93462・ブログコメント公開APIで未認証の情報漏えい）、SQLインジェクション（CVE-2026-62956）、XSS（CVE-2026-93460/93463/93464）など複数の問題です。開発者告知ではこのほかに未認証SQLインジェクション、パス・トラバーサル、管理画面2要素認証コードの総当たりが列挙されています（出典: JVN JVN#14353754、2026年9月25日取得）。

Q. 対策版のバージョンはいくつですか？

5.4系は 5.4.1 以上、5.3系は 5.3.1 以上、5.2系は 5.2.10 以上への更新が対策です（出典: JVN JVN#14353754、2026年9月25日取得）。開発者告知では baserCMS 5.0.0〜5.4.0 を対象に「5.4.1 または 5.3.1 以降へのアップデート」を推奨しています。プラグイン「アドオンマイグレーター」は 5.2.1 以上が修正済みの版です。

Q. 2要素認証を使っていれば対応は不要ですか？

不要ではありません。開発者告知の「管理画面2要素認証コードの総当たり（試行回数制限の欠如・GHSA-pqvq-3jg5-27x4）」は、2要素認証を有効にしているサイトに関わる問題です（出典: baserCMSユーザー会、2026年9月25日取得）。2要素認証は続けたうえで、更新でこの問題を解消してください。あわせて、管理画面のURLを外部に広く出さず、IP制限などの入口の制限を付けるのが予防として有効です。

Q. どのような被害につながりますか？

認証されていない第三者によるデータベース内の情報の取得・改ざん、閲覧者のブラウザ上でのスクリプト実行、承認前コメントや投稿者のメールアドレスのような非公開情報の取得です（出典: JVN、2026年9月25日取得）。管理画面への不正ログインに至れば、サイトの改ざんや会員情報の閲覧につながります。日頃から管理者アカウントのパスワードの使い回しを避け、流出の心当たりがあれば更新後すぐに変えるのが被害の範囲を小さくする手順です。

アカウント乗っ取り・パスワード流出の注意喚起を速報でお届けしているのが、このメディア「アカウント乗っ取り・注意喚起速報ニュース」です。認証やログインに関わる脆弱性が公表されたときは、利用者・運用者が取るべき手順と一緒にまとめてお伝えします。

出典: JVN JVN#14353754「baserCMSにおける複数の脆弱性」（2026年9月25日公開・2026年9月25日取得）。baserCMSユーザー会のセキュリティ情報（2026年9月24日公開）。JVN JVN#21754394「baserCMS用プラグイン「アドオンマイグレーター」における信頼できない制御領域からの機能の組み込みに関する脆弱性」（2026年9月25日公開・2026年9月25日取得）。本記事は公表された事実の列挙と利用者側の対策の案内を目的としています。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針