Craft CMS のコードインジェクションの脆弱性（CVE-2025-23209）

何が起きた

Web サイトを作るソフトウェア Craft CMS に、データベースのバックアップの保存先の確かめ方が不十分なために、外からコードを動かされるコードインジェクションの弱点が見つかり、実際の悪用が確認されています。この弱点は、サイトのセキュリティキー（秘密の鍵）がすでに漏れている場合に悪用でき、リモートコード実行（離れた場所から命令を実行すること）につながります。NVD の評価では、ネットワーク経由で悪用でき、被害者の操作は必要ありません。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Craft 4 と Craft 5 を使っていて、セキュリティキーがすでに漏れているサイトが影響を受けます。GitHub の Craft CMS の勧告では、影響を受けるバージョンを 5.0.0-RC1 以降 5.5.5 より前と、4.0.0-RC1 以降 4.13.8 より前としています。修正版は Craft 5.5.8 と 4.13.8 です。

何をすればいい

Craft 5 は 5.5.8 以降、Craft 4 は 4.13.8 以降に更新されているか確認してください。すぐに更新できない場合は、セキュリティキーを新しいものに取り替え、外に漏れないように管理してください。あわせて Craft CMS の公式の案内を確認してください。

やることチェックリスト

• Craft 5 は 5.5.8 以降に更新する
• Craft 4 は 4.13.8 以降に更新する
• 更新できなければセキュリティキーを取り替える

用語メモ

コードインジェクション 用語集で見る

入力などに悪い命令を紛れ込ませ、それをプログラムに実行させてしまう攻撃や弱点のことです。

セキュリティキー

ソフトウェアがデータを守るために使う秘密の鍵のことです。漏れると、なりすましや改ざんに使われるおそれがあります。

リモートコード実行 用語集で見る

離れた場所から、相手のコンピューターで好きな命令を動かすことです。