CVE-2026-5385 glpiの脆弱性をわかりやすく解説｜影響範囲と対策まとめ

結論

この脆弱性は、認証されていないユーザーがGLPIのナレッジベースに書き込み権限を持つ場合に、XSS攻撃を実行できる可能性があります。影響を受けるシステムを使用している場合は、早急に対策を講じる必要があります。

この記事の要点

• GLPIのバージョン11.0.7以前に影響があります。
• 認証されていないユーザーがXSSペイロードを保存可能です。
• CVSSスコアは8.4で、高いリスクを示しています。
• 早急な対策が推奨されます。

脆弱性の概要

認証されていないユーザーがナレッジベースに書き込み権限を持っている場合、ナレッジベースアイテムにXSSペイロードを保存することができるため、悪意のあるスクリプトが実行される可能性があります。この脆弱性は、GLPIのバージョン11.0.7以前に影響を及ぼします。

項目	内容
CVE番号	CVE-2026-5385
公開日	2026-06-02T20:16:40.840000Z
対象システム	glpi: 11.0.7以前
脆弱性の種類	クロスサイトスクリプティング（XSS）
CVSSスコア	8.4
攻撃条件	認証不要 / ネットワーク経由

まず何をすべきか

• 使用しているGLPIのバージョンを確認する。
• 影響を受けるバージョンを使用している場合は、早急にアップデートを行う。
• 書き込み権限を持つユーザーの管理を見直す。

出典元

• NVD詳細ページ：https://nvd.nist.gov/vuln/detail/CVE-2026-5385
• CVE公式ページ（cve.org）：https://www.cve.org/CVERecord?id=CVE-2026-5385
• help@fluidattacks.com：https://fluidattacks.com/es/advisories/bizkit
• help@fluidattacks.com：https://github.com/glpi-project/glpi
• help@fluidattacks.com：https://github.com/glpi-project/glpi/releases/tag/11.0.7
• help@fluidattacks.com：https://github.com/glpi-project/glpi/security/advisories/GHSA-2fg5-jg72-h338

対象システムと影響範囲

GLPIのバージョン11.0.7以前を使用しているシステムが影響を受けます。特に、認証されていないユーザーに書き込み権限が与えられている場合、脆弱性が悪用される可能性があります。

被害内容

この脆弱性が悪用された場合、悪意のあるスクリプトが実行され、ユーザーのセッション情報や個人情報が漏洩する可能性があります。

既知の悪用状況

現時点では実際の攻撃への悪用は確認されていません。

対応方法

GLPIの最新バージョンにアップデートすることが推奨されます。具体的な修正バージョンは、GLPIの公式サイトで確認してください。

FAQ

Q1. どの製品が影響を受けますか？

GLPIのバージョン11.0.7以前が影響を受けます。

Q2. まず何をすればよいですか？

GLPIのバージョンを確認し、影響を受ける場合はアップデートを行ってください。

Q3. 実際の悪用は確認されていますか？

現時点では実際の攻撃への悪用は確認されていません。

参考情報

• NVD CVE-2026-5385