# KUSANAGIのNginx設定に脆弱性、9は修正版 7と8は緩和策

- 分類: 脆弱性情報
- 公開日: 2026年11月9日
- 発行: サイバーセキュリティ情報センター 編集部（株式会社Rabbitly）
- URL: https://security-info.org/articles/2026-11-09-kusanagi-http-header-injection/
- タグ: WordPress、Webサーバー、国産製品、JVN、CVE-2026-117477

> JVN は11月9日、WordPress などを動かす実行環境「KUSANAGI」に、細工した URL で応答に余計なヘッダーを差し込める脆弱性を公表しました。KUSANAGI 9 は修正版に更新し、サポートが終わった 7 と 8 は緩和策をとります。

## 脆弱性の概要

| 項目 | 内容 |
| --- | --- |
| 対象 | Webサーバー |
| 深刻度 | 注意 |
| CVSS | 6.1 |
| 悪用 | 確認されていない |
| 影響 | 応答に任意のヘッダーを差し込まれる |
| 修正版 | 修正版あり |
| 公表元 | JVN / GMOプライム・ストラテジー |

### 影響を受ける製品

| 製品 | 対象のバージョン | 修正版 |
| --- | --- | --- |
| KUSANAGI 9 Free / Business / Premium Edition | 9.12.2-1 およびそれ以前 | 9.12.3-1 以降 |
| KUSANAGI 9 Security / Enterprise Edition | 10.7.2-1 およびそれ以前 | 10.7.3-1 以降 |
| KUSANAGI 8 Free / Business / Premium Edition | すべてのバージョン | 修正版なし（緩和策） |
| KUSANAGI 7 | すべてのバージョン | 修正版なし（緩和策） |

## やること

JVN は2026年11月9日、GMOプライム・ストラテジーが提供する「KUSANAGI」に HTTP ヘッダーインジェクションの脆弱性（CVE-2026-117477）があると公表しました。KUSANAGI は WordPress などの Web サイトを動かすための実行環境です。11月12日には、JVN の「影響を受けるシステム」の欄が更新されました。

することは、使っている世代で分かれます。

- KUSANAGI 9 は修正版に更新します。Free、Business、Premium の各 Edition は 9.12.3-1 以降、Security と Enterprise の Edition は 10.7.3-1 以降です
- KUSANAGI 7 と KUSANAGI 8 はサポートが終わっていて、修正版は出ません。開発元は Nginx の設定を変える緩和策を案内しています

更新の手順と緩和策の中身は、開発元のアドバイザリに書かれています。JVN のページの「ベンダ情報」からたどれます。サーバーの管理を制作会社や保守会社に任せている場合は、その会社に対応を頼みます。

## 何が危ないのか

脆弱性があるのは、KUSANAGI が WordPress 向けに用意している Nginx の設定ファイルです。この中のリダイレクトのルールに、改行の文字を取り除く処理の不備があります。あるアドレスに来た人を別のアドレスへ送り直す動きをリダイレクトと呼びます。

Web サーバーの応答は、頭に「ヘッダー」と呼ばれる制御用の行が並び、1行ごとに改行で区切られます。リダイレクトでは、送り先のアドレスがこのヘッダーに書かれます。アドレスの中に改行の文字を紛れ込ませることができると、攻撃者はそこで行を切り、自分が決めたヘッダーを続けて書けます。これが HTTP ヘッダーインジェクションです。

JVN によると、攻撃者が細工した URL に利用者がアクセスすると、HTTP の応答に任意のヘッダーが挿入される可能性があります。差し込まれるのは、URL を開いた人に返る応答です。サーバーの中のファイルやデータベースが直接書き換わる種類の脆弱性ではありません。

## 攻撃に必要な条件

CVSS の評価では、攻撃者はログインの必要がなく、インターネット越しに狙えます。ただし、利用者が細工された URL を開くことが条件です。メールや SNS で送られたリンクを、サイトの訪問者や管理者が踏むことで成立します。

CVSS v3.1 の基本値は 6.1、v4.0 では 5.1 です。v3.1 の内訳では、機密性と完全性への影響がそれぞれ「低」、可用性への影響は「なし」とされています。悪用が確認されたという記載は JVN にはありません。

## 対象

JVN が挙げている対象は次のとおりです。

| 製品 | 対象のバージョン |
|---|---|
| KUSANAGI 7 | すべて |
| KUSANAGI 8 Free / Business / Premium Edition | すべて |
| KUSANAGI 9 Security / Enterprise Edition | 10.7.2-1 およびそれ以前 |
| KUSANAGI 9 Free / Business / Premium Edition | 9.12.2-1 およびそれ以前 |

開発元の説明では、KUSANAGI でプロビジョニングした WordPress のプロファイルが対象です。プロビジョニングは、KUSANAGI の機能でサイトの置き場所と設定をひとそろい作ることを指します。Web サーバーに Apache httpd を使っている場合は影響を受けません。

この脆弱性は利用者に知らせる目的で開発元が JPCERT/CC に報告し、JPCERT/CC が開発元と調整して公表されました。

## サポートが終わった世代を使っている場合

KUSANAGI 7 と 8 には修正版が出ないため、緩和策を入れても、今後見つかる別の脆弱性は直らないままになります。会社のホームページを数年前に作り、サーバーをそのまま動かしている場合は、古い世代のままのことがあります。今回の対応をきっかけに、KUSANAGI 9 への移行をいつ行うかを、制作会社や保守会社と決めておくと、次に同じことが起きたときに修正版を当てるだけで済みます。

WordPress 本体の脆弱性は[WordPress本体の更新処理に脆弱性、悪用を確認](/articles/2026-10-28-wordpress-core-upgrade-race/)で扱っています。

## 自社で確かめること

1. **自社のサイトが KUSANAGI か**：会社のホームページを WordPress で作っているなら、サーバーに KUSANAGI を使っているかを制作会社や保守の担当者に聞きます。サーバーの契約時の資料や見積書に名前が載っていないかも見ます。
2. **KUSANAGI の世代と Web サーバー**：使っているのが 7、8、9 のどれか、Web サーバーが Nginx か Apache httpd かを聞きます。Apache httpd なら今回の対象の外です。
3. **更新の予定**：KUSANAGI 9 なら修正版にいつ上げるかを決めてもらいます。7 か 8 なら緩和策を入れたうえで、9 への移行の見積もりを頼みます。

## 出典

- [JVN「JVNVU#92635551 KUSANAGIにおけるHTTPヘッダーインジェクションの脆弱性」](https://jvn.jp/vu/JVNVU92635551/)
- [JVN「GMOプライム・ストラテジー株式会社からの情報」](https://jvn.jp/vu/JVNVU92635551/996687/index.html)