最近の脆弱性 › CVE-2026-49869
Kestra Kestra OSS のOSコマンドインジェクションの脆弱性（CVE-2026-49869）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2026-49869 |
|---|---|
| 製品 | Kestra Kestra OSS |
| 深刻度（CVSS） | 10.0 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H |
| KEVへの追加日 | 2026-09-02 |
| 米国政府機関の対応期限 | 2026-09-05 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-78, CWE-184, CWE-287, CWE-918 |
何が起きた
処理の自動化ソフト Kestra OSS に、認証の確認をすり抜けられる弱点が見つかり、実際に悪用が確認されています。公開してよい設定の窓口を見分ける方法が、アドレスの最後が「configs」かどうかだけだったため、最後が configs で終わる API はどれも認証なしで使えてしまいました。その結果、ログインしていない攻撃者に、任意のワークフロー（自動化の手順）を作って実行されるおそれがあります。初期設定でスクリプトを動かす部品が有効なため、Kestra の処理を行うコンテナの中で、root の権限でプログラムを実行されるおそれがあります。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Kestra OSS の 1.3.20 以前を使っている組織が影響を受けます。
何をすればいい
1.0 系なら 1.0.45 以降、それ以外は 1.3.21 以降に更新してください。
やることチェックリスト
- Kestraのバージョンを確かめる
- 1.0系は1.0.45以降、ほかは1.3.21以降にする
- configsという名前の覚えのないワークフローを確かめる
用語メモ
- ワークフロー
- 決まった処理を、決まった順番で自動で行わせるための手順のことです。
- root
- システム全体を自由に操作できる、最も強い権限のことです。
元データ（英語・CISA KEV より）
Kestra OSS OS Command Injection Vulnerability
概要
Kestra OSS contains an OS command injection vulnerability that could allow an unauthenticated remote attacker to create and execute arbitrary workflows without credentials.
推奨対応
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.