Kentico Xperience の認証回避（空ユーザー名のダイジェスト認証）

Critical（CVSS 9.8）に分類されるKentico Xperience CMSの脆弱性です。Kentico Xperience の Staging Sync Server（ステージング同期）に認証回避の欠陥がある。NVD の記述によれば、ダイジェスト認証で空の SHA1 ユーザー名を扱う際のパスワード処理に不備があり、認証を回避して管理用のオブジェクトを操作できる状態になる。ステージング同期は本来、開発環境と本番環境の間でコンテンツや設定を同期するための機構で、外部の一般利用者が使う経路ではない。それが認証なしで叩けるということは、サイトのコンテンツや設定を外部から書き換えられるのと同義である。影響範囲は Xperience 13.0.172 まで（CPE も 13.0.172 以下）とされている。CVSS は CNA の VulnCheck（disclosure@vulncheck.com）による 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）のみで、NVD 自身の Primary スコアは付与されていない。CISA KEV には 2025-10-20 に収載され、是正期限は 2025-11-10。ランサムウェア利用は Unknown（不明）。NVD の参照には watchTowr Labs による解析記事と検証用コードが含まれており、認証回避から遠隔コード実行まで連鎖させる手口が公開されている。NVD の vulnStatus は Analyzed、公開は 2025-03-24。

判定は Xperience の版から入る。管理画面のシステム情報に出るバージョン（13.0.x のホットフィックス番号まで）を確認し、13.0.172 以下なら該当する。同じステージング同期を狙う CVE-2025-2747 は 13.0.178 まで、CVE-2025-2749 も 13.0.178 まで影響とされているため、実務では3件をまとめて処理する形になり、13.0.178 より後のホットフィックスを当てるのが最短だ。具体的な番号は DevNet のホットフィックス一覧で確認する。見落としやすいのは、本番サイトだけを見て、ステージング環境やキャンペーン用の個別サイト、制作会社が管理する別インスタンスを数え落とすことである。到達性は、ステージング同期のエンドポイントが外部から見えているかを実際に外から叩いて確かめる（パスは製品ドキュメントで確認する）。すぐに更新できない場合の緩和として現実的なのは、ステージング同期の経路を閉じることである。同期を使っていないなら機能自体を無効にし、使っているなら前段のリバースプロキシや WAF で当該エンドポイントを開発環境の固定 IP からのみ許可する。欠陥は認証処理そのものなので、認証を強めても効かない。KEV 収載＝実際に悪用されている案件なので、更新だけで終わらせてはいけない。管理者アカウントの追加、コンテンツの想定外の更新、アップロードされたファイル（特にサーバ側で実行され得る拡張子）、スケジュールタスクの追加を確認し、CMS が保持している資格情報（データベース接続文字列、SMTP、外部連携の API キー、ステージング同期のパスワード）を再発行する。完了条件は、（1）全インスタンスが 13.0.178 より後のホットフィックス適用済みになっている、（2）ステージング同期のエンドポイントが外部から到達できない、（3）痕跡調査と資格情報再発行を済ませた、の3点である。KEV 是正期限 2025-11-10 は今日（2026-08-17）から見て9か月以上前であり、未対応なら期限を大幅に超過している。

Kentico Xperience CMS を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-2746）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/11/10 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。