しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

baserCMS用プラグイン「アドオンマイグレーター」の脆弱性とは？ CVE-2026-97150の影響と対策（2026年9月25日公表）

・ 更新 ・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングbaserCMSCMSプラグイン

この記事のポイント: JPCERT/CC と IPA は2026年9月25日、baserCMSユーザー会のプラグイン「アドオンマイグレーター（BcAddonMigrator）」に信頼できない制御領域からの機能の組み込み（CWE-829）の脆弱性 CVE-2026-97150（CVSS v4.0 8.6・v3.0 7.2）があると公表しました。対象は5.2.0およびそれ以前で、任意のファイルを読み取られたり削除されたりする恐れがあります。対策は最新版 5.2.1 へのアップデートです。

baserCMS用プラグイン「アドオンマイグレーター」の脆弱性とは？ CVE-2026-97150の影響と対策（2026年9月25日公表）

baserCMSユーザー会が提供するbaserCMS用プラグイン「アドオンマイグレーター（BcAddonMigrator）」に、信頼できない制御領域からの機能の組み込み（CWE-829）の脆弱性 CVE-2026-97150 が存在します（出典: JVN）。CVSS v4.0 で8.6、v3.0 で7.2と評価されており、対象バージョン（5.2.0およびそれ以前）を使っている環境は、修正済みの最新版 5.2.1 へのアップデートが対策です。

何が起きたか（要点）

JPCERT/CC と IPA は2026年9月25日、この脆弱性の公表を行いました（出典: JVN）。脆弱性を悪用すると、システム上の任意のファイルを読み取られたり、削除されたりする可能性があります。攻撃の前提条件は「当該プラグインが導入された baserCMS に、管理者権限でログインできる攻撃者がいること」です（出典: JVN）。

影響する製品とバージョン

対象は baserCMS 用プラグイン「アドオンマイグレーター（BcAddonMigrator）」5.2.0 およびそれ以前です。baserCMS 本体そのものを改修する発表ではありませんが、このプラグインはサイトのデータ移行に使われるため、導入しているサイト管理者はバージョンの確認が必要です（出典: JVN）。baserCMS ユーザー会もベンダ情報（basercms.net のセキュリティ情報）を公開しています。

管理者が今すべきこと

  1. 最新版へのアップデート: プラグインを修正済みの BcAddonMigrator 5.2.1 以降へアップデートしてください（出典: JVN・baserCMSユーザー会）。
  2. 導入の有無とバージョンの確認: baserCMS の管理画面のプラグイン一覧で「アドオンマイグレーター」が入っているか、バージョンはいくつかを確認してください。
  3. 管理画面アカウントの棚卸し: 攻撃の前提条件が管理者権限でのログインです。不要になった管理者アカウントの削除・権限の見直しと、二段階認証の有効化を推奨します（この項目は本メディアとしての一般的な推奨で、公表機関が指示した対策ではありません）。

よくある質問

Q. CVE-2026-97150（アドオンマイグレーターの脆弱性）とは何ですか？

baserCMS 用プラグイン「アドオンマイグレーター（BcAddonMigrator）」にある信頼できない制御領域からの機能の組み込み（CWE-829）の脆弱性です。悪用されるとシステム上の任意のファイルを読み取られたり、削除されたりする可能性があります。CVSS v4.0 で8.6、v3.0 で7.2と評価されています（出典: JVN・2026年9月29日取得）。

Q. アドオンマイグレーターの対策はどうすればよいですか？

プラグインを修正済みの 5.2.1 以降へアップデートしてください（出典: JVN・baserCMSユーザー会）。導入の有無とバージョンは baserCMS 管理画面のプラグイン一覧で確認できます。

Q. 対象となるバージョンはどれですか？

BcAddonMigrator 5.2.0 およびそれ以前が対象です。5.2.1 では修正済みです（出典: JVN）。

Q. この脆弱性でアカウント乗っ取りは起きますか？

執筆時点（2026年9月29日）でこの脆弱性によるアカウント乗っ取りや被害事例の公表は確認できていません。攻撃の前提条件は管理者権限でのログインであるため、管理画面アカウントの権限管理と二段階認証の有効化が発生前の防御として有効です（後段は本メディアとしての一般的な推奨です）。

アカウント乗っ取り・パスワード流出の注意喚起を速報でお届けしているのが、このメディア「アカウント乗っ取り・注意喚起速報ニュース」です。CMS・プラグインの脆弱性のように「今すべきこと」が変わる発表は、一次情報だけをもとに当日お届けします。

出典: JVN（JVN#21754394 baserCMS用プラグイン「アドオンマイグレーター」における信頼できない制御領域からの機能の組み込みに関する脆弱性）、2026年9月25日公開（2026年9月29日取得）。baserCMSユーザー会のセキュリティ情報（basercms.net/security/JVN_21754394）、2026年9月29日取得。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針