Apache OFBizに46件の欠陥、ログインなしでコード実行も

やること

Apache OFBiz は Java で作られた業務アプリの集まりです。商品カタログ、受注、人事、会計などの機能を持ち、EC サイトや受発注のシステムの基盤として使われることがあります。

使っている場合は、修正版の 24.09.08 へ更新してください。開発元によると、24.09.08 より前のバージョンはすべて対象です。ほかに回避策は示されていません。

更新したあと、古いバージョンから設定ファイル framework/security/config/security.properties を引き継いでいる環境では、./gradlew rotateSecretKeys を実行して鍵を作り直してください。更新するだけでは、すでに設定されている鍵は置き換わりません。古い鍵が残る問題は、CVE-2026-105330 として公表されています。

自社で入れた覚えがなくても、委託して作ったシステムの中に入っていることがあります。受発注や EC のシステムを持つ会社は、委託先に確かめてください。

何が危ないのか

開発元は11月4日（日本時間では5日未明）に46件の欠陥をまとめて公表し、その中に深刻なものがあるとしました。CVE の記録に付いた開発元の深刻度は、critical（緊急）が1件、important（重要）が29件、moderate（中程度）が16件です。

いちばん深刻な CVE-2026-83542 は、ログインしていない攻撃者がサーバー上で任意のコードを動かせる欠陥です。攻撃者はファイルの送信に細工した部品の定義を混ぜ、ログイン画面の処理にそれを読み込ませ、ログインに失敗した画面を作るときに中の命令を動かします。同じ欠陥はログインのいらない別の URL からも悪用でき、命令の結果がそのまま返ってくるとされています。CVE の記録には、米国 CISA が付けた CVSS 9.8 が載っています。

CVE-2026-82907 も CISA が 9.8 を付けています。OFBiz は別のアプリへ移るリンクに externalLoginKey という値を付けますが、この値は期限がなく、使っても無効になりません。この値を手に入れた攻撃者は、その利用者としてログインした状態を何度でも作れます。

主な欠陥

46件は大きく次の4つに分けられます。

• ログインなしのコード実行：CVE-2026-83542 のほか、一時ファイルの扱いを突いて部品の定義を読み込ませる CVE-2026-68524 があります
• ログインの迂回：公開の URL の後ろに保護された画面の名前をつなげると、その画面が表示されてしまう CVE-2026-73577 などです。REST API で認証の指定を書き忘れた操作が、認証なしで呼べてしまう CVE-2026-92887 もあります
• 情報の閲覧：ログインなしで人事の組織や従業員の情報、商品や店舗の情報を読み出せる CVE-2026-73580 と CVE-2026-83538 です
• 業務データの書き換え：閲覧だけの権限の利用者が、注文の価格や数量、支払いの割り当てを変えられる欠陥があります。返品の処理で返金の金額を不正に変えられる欠陥もあります

CVE-2026-105330 の対象は、24.09.06 と 24.09.07 のうち、それ以前のバージョンから security.properties を引き継ぎ、security.internal.sso.enabled を true にしている環境です。古い既定の鍵が残っているため、ログインしていない攻撃者が管理者の権限を得られます。

悪用の状況

公表された資料に、悪用を確認したという記載はありません。CISA の悪用確認の一覧（KEV、11月6日版）にも、今回の46件は載っていません。

ただし、この一覧には過去の OFBiz の欠陥が3件載っています。2024年8月7日に CVE-2024-32113、2024年8月27日に CVE-2024-38856、2025年2月4日に CVE-2024-45195 が追加されました。OFBiz の欠陥は過去に実際の攻撃に使われています。

対象

24.09.08 より前のすべてのバージョンが対象です。開発元は 24.09 系の8回目のリリースとして、2026年11月に 24.09.08 を出しました。開発元はダウンロードのページで、なるべく最新の系統を使うよう勧めています。古い系統はボランティアの手が回らず、支援が手薄になることがあるとしています。

中小企業が確かめること

OFBiz のような業務ソフトは、作ったあと更新されないまま動き続けていることがあります。委託先に聞くときは、OFBiz を使っているかに加えて、バージョンと更新の予定も確かめてください。

更新までに日がかかる場合は、OFBiz の画面や API に外から届く範囲を、社内や取引先の決まった IP アドレスに絞ってください。これは公式の案内ではありませんが、今回の欠陥にはログインなしで悪用できるものが多いので、届く相手を減らす意味があります。