Craft CMS のコードインジェクションの脆弱性（CVE-2025-32432）

何が起きた

Web サイトを作るためのソフト Craft CMS に、外から送られた内容をプログラムとして実行してしまう弱点（コードインジェクション）が見つかり、実際に悪用が確認されています。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者が、利用者の操作なしに悪用できます。悪用されると、攻撃者が任意の（好きに選んだ）コードをサーバーで実行できます。この修正は、以前の弱点 CVE-2023-41892 への追加の修正です。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Craft CMS の 3.0.0-RC1 から 3.9.15 より前、4.0.0-RC1 から 4.14.15 より前、5.0.0-RC1 から 5.6.17 より前を使っている Web サイトの運営者が影響を受けます。

何をすればいい

Craft CMS の公式の案内を確認し、3.9.15、4.14.15、5.6.17 以降に更新してください。メーカーは、更新が最善の対策で、すぐ更新できない場合はファイアウォールで怪しい通信を止めること、最後の手段として Craft CMS Security Patches ライブラリを入れることを挙げています。乗っ取られたと思われる場合は、Craft とすべてのプラグインを修正版に更新し、セキュリティキー（CRAFT_SECURITY_KEY）とほかの秘密の鍵の作り直し、データベースのパスワードの変更をするよう勧めています。

やることチェックリスト

• Craft CMSを3.9.15、4.14.15、5.6.17以降に更新する
• 更新できるまでファイアウォールで怪しい通信を止める
• 侵入が疑われたらCRAFT_SECURITY_KEYを作り直す

用語メモ

コードインジェクション 用語集で見る

攻撃者が送り込んだ文字列が、プログラムとして実行されてしまう弱点です。

CMS 用語集で見る

専門知識がなくても Web サイトの記事や画像を管理できるようにするソフトです。

ファイアウォール 用語集で見る

通信を見張り、怪しい通信を止めるための仕組みです。