Kentico Xperience の認証回避（同期の None 設定）

Critical（CVSS 9.8）に分類されるKentico Xperience CMSの脆弱性です。Kentico Xperience の Staging Sync Server に、もう一つ別の認証回避の欠陥がある。NVD の記述によれば、サーバ側で定義されるパスワード種別 None のときのパスワード処理に不備があり、認証を回避して管理用オブジェクトを操作できる。CVE-2025-2746 が空の SHA1 ユーザー名を使うダイジェスト認証の経路だったのに対し、こちらはパスワード種別を None に設定した場合の経路で、同じ機能の別の入口である。影響範囲は Xperience 13.0.178 まで（CPE も 13.0.178 以下）で、13.0.172 までだった CVE-2025-2746 より広い。つまり 2746 を塞ぐホットフィックスを当てただけでは、こちらは残る可能性がある。CVSS は CNA の VulnCheck による 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）のみで、NVD 自身の Primary スコアは付与されていない。CISA KEV には CVE-2025-2746 と同じ 2025-10-20 に収載され、是正期限も同じ 2025-11-10、ランサムウェア利用は Unknown（不明）である。NVD の参照には watchTowr Labs の解析記事と検証コードが含まれ、認証回避を起点にコード実行まで連鎖させる流れが公開されている。NVD の vulnStatus は Analyzed、公開は 2025-03-24。

判定はまず版で行い、13.0.178 以下なら該当する。ここで重要なのは、同時期の3件（CVE-2025-2746 は 13.0.172 まで、CVE-2025-2747 と CVE-2025-2749 は 13.0.178 まで）で影響範囲がずれていることで、いちばん広い 13.0.178 を基準に「13.0.178 より後のホットフィックス」まで上げないと取り残しが出る。適用可能なホットフィックスは Kentico の DevNet のホットフィックス一覧で確認する。加えて、この欠陥はステージング同期のパスワード種別が None のときの処理が関わるため、版の確認と同時に各インスタンスのステージング設定を開いて認証方式を確認する。意図せず None のまま残っている環境が実質的な穴になる。棚卸しの対象は、本番のほかステージング環境、キャンペーン用の別サイト、制作会社管理のインスタンス、公開されたままの休止サイトである。すぐに更新できない場合、緩和はステージング同期の経路を閉じることになる。同期を使っていない環境では機能を無効化し、パスワード種別が None なら少なくとも設定を変える、使っている環境では前段で当該エンドポイントを開発環境の固定 IP のみに限定する。ただし設定変更が別経路を塞ぐ保証は無いので、ホットフィックス適用まで進める。KEV 収載＝実際に悪用されている以上、更新後も痕跡の確認が必要で、管理者アカウントの追加、コンテンツや設定の想定外の変更、アップロードされたファイル、スケジュールタスクの追加を見る。CMS が保持しているデータベース接続文字列、SMTP、外部連携の API キー、ステージング同期用のパスワードは再発行する。完了条件は、（1）全インスタンスが 13.0.178 より後のホットフィックス適用済み、（2）ステージング同期の設定と到達経路を確認済み、（3）痕跡調査と資格情報再発行を完了、の3点である。KEV 是正期限 2025-11-10 は今日（2026-08-17）から見て9か月以上前で、未対応なら期限を大幅に超過している。

Kentico Xperience CMS を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-2747）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/11/10 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。