phpMyFAQ の WebAuthn 登録で他人のアカウントに鍵を足され乗っ取り（CVSS 9.8）

Critical（CVSS 9.8）に分類されるphpMyFAQ phpMyFAQ 4.0.0〜4.1.8の脆弱性です。**FAQ 管理システム phpMyFAQ の WebAuthn（パスキー）登録の処理に、認証なしで他人のアカウントへ鍵を登録できる欠陥がある。** NVD に載った VulnCheck（CNA）の記述によれば、対象は **4.0.0 以上 4.1.9 未満**。攻撃者は狙うユーザー名を指定し、`fmt=none` の偽の登録応答を送って自分のパスキーを登録し、そのままログインする。パスワードも TOTP の二要素認証も通らずにアカウントを乗っ取れる。 **原因は3つ重なっている。** 開発元の GitHub アドバイザリ（GHSA-g6cq-6rqg-6c9p、2026年10月3日公開）によれば、（1）登録の処理が要求者がそのアカウントの持ち主かを確かめていない、（2）サーバーが発行したチャレンジと応答を突き合わせていない、（3）`fmt=none` の登録を受け付ける、の3点で、ハードウェアもブラウザも無しに HTTP 要求だけで登録を偽造できる。足された鍵は、鍵を明示的に消すまでパスワードを変えても残る。 **前提は WebAuthn 対応が有効なこと。** アドバイザリは `security.enableWebAuthnSupport = true`（既定では無効）と、有効なユーザー名を知っていることを条件に挙げている。管理者の `admin` のような推測しやすい名前も狙える。CVSS 3.1 は **9.8 Critical**、CVSS 4.0 は 9.3（いずれも VulnCheck の評価）。NVD は2026年10月17日に公開し、分析状況は Deferred。悪用の報告は確認できておらず、CISA KEV にも収載されていない。

**4.1.9 以降へ上げる。** GitHub アドバイザリは修正版を 4.1.9 としており、GitHub の `4.1.9` タグは2026年10月3日のコミット「chore: v4.1.9 release」を指している。4.0 系は修正の入った 4.1 系へ移る。 **影響を受けるかの確認**は、（1）版が 4.0.0〜4.1.8 か、（2）設定で WebAuthn 対応（`security.enableWebAuthnSupport`）を有効にしているか、の2点。両方に当たれば対象である。開発元は公式の回避策を示していない。報告者の検証では WebAuthn 対応を無効にした環境で要求は拒否されたが、アドバイザリはこれを回避策としては位置づけていない。 **更新後に、登録済みの鍵を確かめる。** 足された鍵はパスワードを変えても消えないので、管理者を含む各アカウントの WebAuthn 鍵に身に覚えのないものが無いかを確認し、あれば削除する。 **完了条件**は、（1）phpMyFAQ が 4.1.9 以上であること、（2）WebAuthn を有効にしていた期間について、各アカウントの登録済みの鍵を確認したこと、の2点である。

phpMyFAQ phpMyFAQ 4.0.0〜4.1.8 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-111911）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。