CMSのSHIRASAGIにコマンド実行の脆弱性、v1.21.1で修正

国産 CMS の SHIRASAGI に、管理画面の権限を持つ人が OS のコマンドを実行できる脆弱性などが見つかりました。CVSS は 8.7 です。v1.21.1 で修正されており、悪用の報告は公表されていません。

脆弱性の概要

重要CVSS8.7

影響を受ける製品
製品	対象のバージョン	修正版
SHIRASAGI（CVE-2026-118869）	v1.19.0〜v1.21.0	v1.21.1
SHIRASAGI（CVE-2026-117679）	v1.12.0〜v1.21.0	v1.21.1

やること

SHIRASAGI は Web サイトを管理するオープンソースの CMS です。v1.21.1 へ更新してください。

更新が難しい場合は、開発元が公開している修正を個別に反映します。修正の一覧は開発元のお知らせにあります。

v1.14.2 以前から更新する場合は、CMS に重大な非互換があると案内されているので注意が必要です。

SHIRASAGI Project と JVN は11月5日に脆弱性2件を公表しました。

CVE-2026-118869 は OS コマンドインジェクションと呼ばれる欠陥です。オープンデータを取り込むハーベスト機能に問題があり、サーバー上で OS のコマンドを実行されるおそれがあります。CVSS は v4.0 で 8.7、v3.0 で 8.8 です。

悪用には管理画面へのログインと、オープンデータとハーベストを管理する権限が必要です。

CVE-2026-117679 はクロスサイトスクリプティング（閲覧者のブラウザで不正なスクリプトを動かす攻撃）で、広告ページの編集に問題があります。広告を管理する権限を持つ人が細工すると、公開ページで広告を押した人のブラウザでスクリプトが動きます。CVSS は v4.0 で 5.1 です。

JVN と開発元のお知らせに悪用の記載はありません。

コマンド実行の脆弱性は v1.19.0 から v1.21.0 までが対象です。v1.18.2 以前はハーベスト機能がないか、安全な実装になっているため該当しません。クロスサイトスクリプティングは v1.12.0 から v1.21.0 までが対象です。

自社で確かめること

サイトのバージョンを確かめるSHIRASAGI のバージョンが v1.21.1 以降かを確認してください。サイトの運用を委託している場合は委託先に問い合わせてください。

管理者の権限を見直すどちらの脆弱性も、管理画面にログインできる人が悪用できます。オープンデータと広告を管理する権限を持つアカウントを確認し、不要な権限を外してください。

自社で確かめるのが難しい場合はCyberScope のセキュリティ診断（3万円から）