KUSANAGIのNginx設定に脆弱性、9は修正版 7と8は緩和策

やること

JVN は2026年11月9日、GMOプライム・ストラテジーが提供する「KUSANAGI」に HTTP ヘッダーインジェクションの脆弱性（CVE-2026-117477）があると公表しました。KUSANAGI は WordPress などの Web サイトを動かすための実行環境です。11月12日には、JVN の「影響を受けるシステム」の欄が更新されました。

することは、使っている世代で分かれます。

• KUSANAGI 9 は修正版に更新します。Free、Business、Premium の各 Edition は 9.12.3-1 以降、Security と Enterprise の Edition は 10.7.3-1 以降です
• KUSANAGI 7 と KUSANAGI 8 はサポートが終わっていて、修正版は出ません。開発元は Nginx の設定を変える緩和策を案内しています

更新の手順と緩和策の中身は、開発元のアドバイザリに書かれています。JVN のページの「ベンダ情報」からたどれます。サーバーの管理を制作会社や保守会社に任せている場合は、その会社に対応を頼みます。

何が危ないのか

脆弱性があるのは、KUSANAGI が WordPress 向けに用意している Nginx の設定ファイルです。この中のリダイレクトのルールに、改行の文字を取り除く処理の不備があります。あるアドレスに来た人を別のアドレスへ送り直す動きをリダイレクトと呼びます。

Web サーバーの応答は、頭に「ヘッダー」と呼ばれる制御用の行が並び、1行ごとに改行で区切られます。リダイレクトでは、送り先のアドレスがこのヘッダーに書かれます。アドレスの中に改行の文字を紛れ込ませることができると、攻撃者はそこで行を切り、自分が決めたヘッダーを続けて書けます。これが HTTP ヘッダーインジェクションです。

JVN によると、攻撃者が細工した URL に利用者がアクセスすると、HTTP の応答に任意のヘッダーが挿入される可能性があります。差し込まれるのは、URL を開いた人に返る応答です。サーバーの中のファイルやデータベースが直接書き換わる種類の脆弱性ではありません。

攻撃に必要な条件

CVSS の評価では、攻撃者はログインの必要がなく、インターネット越しに狙えます。ただし、利用者が細工された URL を開くことが条件です。メールや SNS で送られたリンクを、サイトの訪問者や管理者が踏むことで成立します。

CVSS v3.1 の基本値は 6.1、v4.0 では 5.1 です。v3.1 の内訳では、機密性と完全性への影響がそれぞれ「低」、可用性への影響は「なし」とされています。悪用が確認されたという記載は JVN にはありません。

対象

JVN が挙げている対象は次のとおりです。

製品	対象のバージョン
KUSANAGI 7	すべて
KUSANAGI 8 Free / Business / Premium Edition	すべて
KUSANAGI 9 Security / Enterprise Edition	10.7.2-1 およびそれ以前
KUSANAGI 9 Free / Business / Premium Edition	9.12.2-1 およびそれ以前

開発元の説明では、KUSANAGI でプロビジョニングした WordPress のプロファイルが対象です。プロビジョニングは、KUSANAGI の機能でサイトの置き場所と設定をひとそろい作ることを指します。Web サーバーに Apache httpd を使っている場合は影響を受けません。

この脆弱性は利用者に知らせる目的で開発元が JPCERT/CC に報告し、JPCERT/CC が開発元と調整して公表されました。

サポートが終わった世代を使っている場合

KUSANAGI 7 と 8 には修正版が出ないため、緩和策を入れても、今後見つかる別の脆弱性は直らないままになります。会社のホームページを数年前に作り、サーバーをそのまま動かしている場合は、古い世代のままのことがあります。今回の対応をきっかけに、KUSANAGI 9 への移行をいつ行うかを、制作会社や保守会社と決めておくと、次に同じことが起きたときに修正版を当てるだけで済みます。

WordPress 本体の脆弱性はWordPress本体の更新処理に脆弱性、悪用を確認で扱っています。