Craft CMS で認証不要のリモートコード実行（悪用確認済み）

Critical（CVSS 10.0）に分類されるCraft CMS Craft CMSの脆弱性です。PHP 製 CMS の Craft にリモートコード実行の欠陥がある。NVD の記述では 3.0.0-RC1 から 3.9.15 未満、4.0.0-RC1 から 4.14.15 未満、5.0.0-RC1 から 5.6.17 未満が影響し、修正版は 3.9.15、4.14.15、5.6.17 で、これは CVE-2023-41892 に対する追加の修正だとされている。アドバイザリ自身が影響は大きく攻撃の複雑度は低い経路だと明記している。CVSS は NVD（Primary）も CNA の GitHub（Secondary）も 10.0 Critical だが、ベクタが少し違い、NVD は CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H、GitHub は末尾のみ A:L としている。認証不要・利用者操作不要でスコープ変更ありという見立ては両者で一致している。参照には本 CVE を使った実際の攻撃キャンペーンを調査したブログが Exploit 区分で登録されており、机上の話ではない。CISA KEV には 2026-03-20 に収載され、是正期限は 2026-04-03。ランサムウェア利用は Unknown（不明）。NVD の vulnStatus は Analyzed。

判定は composer show craftcms/cms もしくは composer.lock の craftcms/cms の版を見るのが確実で、管理画面のユーティリティにあるシステム情報でも確認できる。系列ごとに 3.9.15 / 4.14.15 / 5.6.17 以上なら非該当、それ未満なら該当である。RC 版から影響範囲に入っている点に注意する。見落としやすいのは、本番サイトではなくその周辺で、キャンペーン用に作って放置したサイト、ステージング環境、共有ホスティングに残っている旧サイト、コンテナイメージに焼き込んだ vendor ディレクトリなどである。ドキュメントルートに craft や public/index.php がある場所を機械的に探して版を突き合わせるのが早い。確認できる回避策は無いので、すぐ更新できない場合は公開面を閉じる。該当サイトを一時的に停止するか、WAF や IP 制限で外部からのリクエストを止めて、未認証の到達性をなくした状態で更新を待つ。KEV 是正期限 2026-04-03 は既に過ぎているため、未更新のサイトが残っているなら期限超過として扱う。そして実際に悪用が確認されているので、更新だけでは終わらない。web ルートや storage 配下に見慣れない PHP ファイルが無いか、cron やキューに不審なジョブが登録されていないか、管理者アカウントが増えていないかを確認し、セキュリティキー、データベース接続情報、外部連携の API キーを再発行するところまでを完了条件にする。

Craft CMS Craft CMS を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-32432）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/04/03 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。