結論
Concrete CMS 9.5.0およびそれ以前のバージョンには、リモートコード実行の脆弱性があります。この脆弱性は、悪意のある管理者が特定の条件下で悪用する可能性があります。利用者は、直ちに対策を講じる必要があります。
この記事の要点
- Concrete CMS 9.5.0以下にリモートコード実行の脆弱性が存在
- 悪意のある管理者がブロックを追加することで脆弱性を悪用可能
- CVSSスコアは8.9
脆弱性の概要
Concrete CMS 9.5.0およびそれ以前のバージョンには、ExpressEntryListブロックコントローラーにおける不適切なデシリアライズによりリモートコード実行の脆弱性があります。悪意のある管理者がブロックを追加する権限を持っている場合、通常はフォームのPOSTリクエストに対する悪意のある入力を制限する保護メカニズムをバイパスすることができます。REST API機能を利用することで、リクエストがjson_decode()を使用して解析されるため、文字列「true」が厳密なPHPのBoolean(true)として評価されます。このバイパスにより、攻撃者はブロックのfilterFieldsデータベース列に悪意のあるシリアライズされたペイロードを注入することが可能になります。このペイロードは、ブロックのデータが管理者によって表示または編集される際に実行され、完全なサーバーの乗っ取り（RCE）につながります。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-8135 |
| 公開日 | 2026-05-21T21:16:32.970000Z |
| 対象システム | Concrete CMS 9.5.0およびそれ以前のバージョン |
| 脆弱性の種類 | リモートコード実行 |
| CVSSスコア | 8.9 |
| 攻撃条件 | 認証不要 / ネットワーク経由 |
◆ CVEについてはこちらから
まず何をすべきか
- 使用しているConcrete CMSのバージョンを確認する
- 9.5.0以下のバージョンを使用している場合は、直ちにアップデートを検討する
- 不審なアクティビティがないか監視する
出典元
- NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-8135
- CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-8135
- ff5b8ace-8b95-4078-9743-eac1ca5451de：https://documentation.concretecms.org/9-x/developers/introduction/version-history/951-release-notes
対象システムと影響範囲
Concrete CMS 9.5.0およびそれ以前のバージョンを使用しているシステムが影響を受けます。特に、悪意のある管理者がブロックを追加できる環境ではリスクが高まります。
被害内容
この脆弱性が悪用された場合、攻撃者は管理者権限を乗っ取り、サーバーを完全に制御することが可能になります。
既知の悪用状況
現時点では実際の攻撃への悪用は確認されていません。
対応方法
Concrete CMSの最新バージョンにアップデートすることが推奨されます。具体的なパッチや修正バージョンについては、公式のセキュリティアドバイザリを参照してください。
FAQ
Q1. どの製品が影響を受けますか？
Concrete CMS 9.5.0およびそれ以前のバージョンが影響を受けます。
Q2. まず何をすればよいですか？
使用しているバージョンを確認し、必要に応じてアップデートを行ってください。
Q3. 実際の悪用は確認されていますか？
現時点では実際の攻撃への悪用は確認されていません。
コメント