情報取得日: 2026/04/20／最終確認: 2026/08/15・本ページは公開情報の非公式まとめです
| CVE ID | CVE-2025-2749 |
|---|---|
| 製品 | Kentico / Kentico Xperience |
| CVSS | 7.2（High） CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
| 種別 (CWE) | CWE-22 パストラバーサル / CWE-434 危険なタイプのファイルの無制限アップロード |
| CVE 公開日 | 2025/03/24（NVD） |
| CISA KEV 収載日 | 2026/04/20 2025年に公開された脆弱性です。新着として扱う前に公開年を確認してください。 |
| KEV 期限 | 2026/05/04 まで（米国連邦機関向け目安） |
| 推奨対応 | ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。 |
| 出典 | https://nvd.nist.gov/vuln/detail/CVE-2025-2749 |
Kentico Xperience の Staging Sync Server で、認証済みの利用者が相対パスを含む場所へ任意のデータをアップロードできる。NVD の記述によれば、これがパストラバーサルと任意ファイルアップロードになり、サーバ側で実行される内容を置ければ遠隔コード実行に至る。単体では認証が前提（CVSS も PR:H、つまり高い権限が必要という評価）だが、同じ機能に対する認証回避の CVE-2025-2746 / CVE-2025-2747 と組み合わせると、認証なしからコード実行までつながる。NVD の参照に載っている watchTowr Labs の記事はまさにこの連鎖を扱っている。影響範囲は Xperience 13.0.178 まで（CPE も 13.0.178 以下）。CVSS は CNA の VulnCheck（disclosure@vulncheck.com）による 7.2 High（CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H）のみで、NVD 自身の Primary スコアは付与されていない。単体のスコアが 7.2 に留まるのは PR:H の分であり、連鎖を前提にすれば実質的な深刻度はこれより高く見るべきである。CISA KEV には 2026-04-20 に収載され、是正期限は 2026-05-04。ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed、公開は 2025-03-24。
各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。
| 環境 | 対応状況 | 対応方法・備考 |
|---|---|---|
| AWS (ECS/EC2) | パッチあり（アプリ更新） |
EC2 / ECS 上の Xperience 13 に 13.0.178 より後のホットフィックスを適用する
AWS のサービス側の欠陥ではない。アップロード先を S3 に寄せている構成でも、サーバ側のローカルディレクトリに書ける経路が残っていないかを確認する。WAF でステージング同期のエンドポイントを外部から遮断する。
参照リンク
|
| GCP | パッチあり（アプリ更新） |
Compute Engine / Cloud Run 上の Xperience 13 に 13.0.178 より後のホットフィックスを適用する
Cloud Run のようにコンテナを作り直す構成では、置かれたファイルは再デプロイで消えるが、原因の版が古いままなら再発する。イメージのソース版を更新する。
参照リンク
|
| Azure | パッチあり（アプリ更新） |
Azure App Service / VM 上の Xperience 13 に 13.0.178 より後のホットフィックスを適用する
App Service の wwwroot 配下に不審なファイルが残っていないかを Kudu で確認する。デプロイスロットとバックアップから復元した環境も同じ確認をする。
参照リンク
|
| Linux | パッチあり（アプリ更新） |
ディストリのパッケージ更新の対象外。アプリケーションとして 13.0.178 より後のホットフィックスを適用する
アップロード先ディレクトリの実行権限を外し、前段の nginx / Apache で当該ディレクトリのスクリプト実行を止める。find でアップロード先の新しいファイルを時系列に洗うと痕跡確認が早い。
参照リンク
|
判定は版で、Xperience 13.0.178 以下なら該当する。ステージング同期をめぐる3件（CVE-2025-2746 / 2747 / 2749）は影響範囲が 13.0.172 と 13.0.178 に分かれているので、いちばん広い 13.0.178 を基準にして、それより後のホットフィックスを当てる。適用対象は DevNet のホットフィックス一覧で確認する。見落としやすいのは、認証が必要と書いてあるために優先度を下げてしまうことである。同じ機能に認証回避の欠陥が2件あり、解析記事がその連鎖を示している以上、認証前提として扱わないほうがよい。棚卸しの対象は本番サイト、ステージング環境、キャンペーン用の別サイト、制作会社管理のインスタンス、公開中の休止サイトである。すぐに更新できない場合の緩和は、ステージング同期の経路を閉じることに集約される。同期を使っていなければ機能を無効化し、使っているなら前段のプロキシや WAF で当該エンドポイントを開発環境の固定 IP のみに絞る。加えて、アップロード先になり得るディレクトリでサーバ側スクリプトの実行を禁止する設定（IIS のハンドラマッピング、Web サーバ側の実行権限の削除）を入れておくと、ファイルを置かれてもコード実行に至りにくくなる。KEV 収載＝実際に悪用されている案件なので、更新後の確認が必須である。Web ルート配下や添付ファイル用ディレクトリに置かれた見慣れないファイル、管理者アカウントの追加、スケジュールタスクの追加を洗い、CMS が保持している資格情報（データベース接続文字列、SMTP、外部連携の API キー、ステージング同期のパスワード）を再発行する。完了条件は、（1）全インスタンスが 13.0.178 より後のホットフィックス適用済み、（2）アップロード先ディレクトリに不審なファイルが無いことを確認して記録した、（3）保持資格情報を再発行した、の3点である。KEV 是正期限 2026-05-04 は今日（2026-08-17）から見て3か月以上前であり、未対応なら期限超過として扱う。
High（CVSS 7.2）に分類されるKentico Kentico Xperienceの脆弱性です。Kentico Xperience の Staging Sync Server で、認証済みの利用者が相対パスを含む場所へ任意のデータをアップロードできる。NVD の記述によれば、これがパストラバーサルと任意ファイルアップロードになり、サーバ側で実行される内容を置ければ遠隔コード実行に至る。単体では認証が前提（CVSS も PR:H、つまり高い権限が必要という評価）だが、同じ機能に対する認証回避の CVE-2025-2746 / CVE-2025-2747 と組み合わせると、認証なしからコード実行までつながる。NVD の参照に載っている watchTowr Labs の記事はまさにこの連鎖を扱っている。影響範囲は Xperience 13.0.178 まで（CPE も 13.0.178 以下）。CVSS は CNA の VulnCheck（disclosure@vulncheck.com）による 7.2 High（CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H）のみで、NVD 自身の Primary スコアは付与されていない。単体のスコアが 7.2 に留まるのは PR:H の分であり、連鎖を前提にすれば実質的な深刻度はこれより高く見るべきである。CISA KEV には 2026-04-20 に収載され、是正期限は 2026-05-04。ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed、公開は 2025-03-24。
判定は版で、Xperience 13.0.178 以下なら該当する。ステージング同期をめぐる3件（CVE-2025-2746 / 2747 / 2749）は影響範囲が 13.0.172 と 13.0.178 に分かれているので、いちばん広い 13.0.178 を基準にして、それより後のホットフィックスを当てる。適用対象は DevNet のホットフィックス一覧で確認する。見落としやすいのは、認証が必要と書いてあるために優先度を下げてしまうことである。同じ機能に認証回避の欠陥が2件あり、解析記事がその連鎖を示している以上、認証前提として扱わないほうがよい。棚卸しの対象は本番サイト、ステージング環境、キャンペーン用の別サイト、制作会社管理のインスタンス、公開中の休止サイトである。すぐに更新できない場合の緩和は、ステージング同期の経路を閉じることに集約される。同期を使っていなければ機能を無効化し、使っているなら前段のプロキシや WAF で当該エンドポイントを開発環境の固定 IP のみに絞る。加えて、アップロード先になり得るディレクトリでサーバ側スクリプトの実行を禁止する設定（IIS のハンドラマッピング、Web サーバ側の実行権限の削除）を入れておくと、ファイルを置かれてもコード実行に至りにくくなる。KEV 収載＝実際に悪用されている案件なので、更新後の確認が必須である。Web ルート配下や添付ファイル用ディレクトリに置かれた見慣れないファイル、管理者アカウントの追加、スケジュールタスクの追加を洗い、CMS が保持している資格情報（データベース接続文字列、SMTP、外部連携の API キー、ステージング同期のパスワード）を再発行する。完了条件は、（1）全インスタンスが 13.0.178 より後のホットフィックス適用済み、（2）アップロード先ディレクトリに不審なファイルが無いことを確認して記録した、（3）保持資格情報を再発行した、の3点である。KEV 是正期限 2026-05-04 は今日（2026-08-17）から見て3か月以上前であり、未対応なら期限超過として扱う。
Kentico Kentico Xperience を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-2749）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。
はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/05/04 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。
本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/08/15）。