サイバーセキュリティ

KUSANAGIにおけるHTTPヘッダーインジェクションの脆弱性

GMOプライム・ストラテジー株式会社が提供するKUSANAGIに、HTTPヘッダーインジェクションの脆弱性が存在すると公表されました。対象はKUSANAGI 7・8・9の特定エディション・バージョンで、Apache httpdを使用している場合は対象外とされています。攻撃者が細工したURLにアクセスすると、HTTPレスポンスに任意のヘッダーが挿入される可能性があります。開発者が提供する情報に基づくアップデートまたはワークアラウンドの実施が案内されています。

最終確認日: 2026-11-09

この発表の要点

KUSANAGI 7・8・9の一部エディション・バージョンにHTTPヘッダーインジェクションの脆弱性がある
対象はSecurity / Enterprise Edition 10.7.2-1およびそれ以前、Free / Business / Premium Edition 9.12.2-1およびそれ以前
Apache httpdを使用している場合は対象外。最新版へのアップデート、またはワークアラウンドの実施が案内されている

企業・自治体への影響

KUSANAGIを利用してWebサイトやサーバーを運用している企業・自治体の情報システム部門、およびWebサイト運営を担当する部門に影響し得ます。原文では、細工されたURLにアクセスすることでHTTPレスポンスに任意のヘッダーが挿入される可能性が示されています。対象エディション・バージョンの利用有無に応じて、影響範囲を判断する必要があります。

対応すべきこと

公式出典（jvn.jp）で対象エディション・バージョンと自社環境が該当するかを確認する
Apache httpdを使用している構成は対象外となるため、Webサーバーの構成を確認する
開発者が提供する情報をもとに最新版へのアップデート、またはアップデート不可の場合はワークアラウンドを実施する
情報システム部門で対応状況を管理し、関係部門へ共有する

対象部門： 情シス広報

対応期限：速やかに確認

基本データ

企業・団体	JPCERT/CCおよび独立行政法人情報処理推進機構（IPA）
業界	IT・ソフトウェア
発表日	2026-11-09
分類	サイバーセキュリティ

発表された内容

公開日：2026/11/09 最終更新日：2026/11/09

JVNVU#92635551
KUSANAGIにおけるHTTPヘッダーインジェクションの脆弱性

GMOプライム・ストラテジー株式会社が提供するKUSANAGIには、HTTPヘッダーインジェクションの脆弱性が存在します。

KUSANAGI 7、KUSANAGI 8、KUSANAGI 9 の以下のエディションおよびバージョン

Security / Enterprise Edition 10.7.2-1およびそれ以前
Free / Business / Premium Edition 9.12.2-1およびそれ以前

なお、Apache httpdを使用している場合は対象外です。

GMOプライム・ストラテジー株式会社が提供するKUSANAGIには、WordPress向けNginxの設定ファイルに含まれるリダイレクトルールに次の脆弱性が存在します。

HTTPヘッダーにおけるCRLF文字の不適切な無害化（CWE-113）

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N 基本値 5.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N 基本値 6.1
CVE-2026-117477

攻撃者によって細工されたURLにアクセスすることで、HTTPレスポンスに任意のヘッダーが挿入される可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。

ワークアラウンドを実施する
アップデートできない場合は、開発者が提供する情報をもとに緩和策を実施してください。

ベンダ
ステータス
ステータス最終更新日
ベンダの告知ページ

GMOプライム・ストラテジー株式会社

該当製品あり

2026/11/09

GMOプライム・ストラテジー株式会社の告知ページ

この脆弱性情報は、製品利用者への周知を目的に、GMOプライム・ストラテジー株式会社がJPCERT/CCに報告し、JPCERT/CCがGMOプライム・ストラテジー株式会社との調整を行いました。

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

CVE-2026-117477

JVN iPedia

JVN
HOME
JVNとは
脆弱性レポートの読み方
脆弱性レポート一覧
VN_JP
VN_JP（連絡不能）
VN_VU
VN_TA
TRnotes
JVN iPedia
MyJVN
JVNJS/RSS
ベンダ情報一覧
連絡不能開発者一覧
脆弱性情報の届出
お問合せ先

出典: jvn@jvn.jp
URL: https://jvn.jp/vu/JVNVU92635551/

時系列

2026-11-09　JVN（JVNVU#92635551）にてKUSANAGIのHTTPヘッダーインジェクションの脆弱性が公開された。
2026-11-09　ベンダ（GMOプライム・ストラテジー株式会社）のステータスが「該当製品あり」として最終更新された。

主な数値

対象バージョン（Security / Enterprise Edition）	10.7.2-1およびそれ以前バージョン
対象バージョン（Free / Business / Premium Edition）	9.12.2-1およびそれ以前バージョン
CVSS:4.0 基本値	5.1点
CVSS:3.1 基本値	6.1点

この事例から確認すべきポイント

本件は、ウェブサーバー構成に用いられるソフトウェアの脆弱性に関する公表です。原文では、WordPress向けNginxの設定ファイルに含まれるリダイレクトルールにおけるCRLF文字の不適切な無害化（CWE-113）が要因とされ、細工されたURLへのアクセスでHTTPレスポンスに任意のヘッダーが挿入される可能性が示されています。KUSANAGIを利用している企業では、自社の利用エディションとバージョンが対象範囲に含まれるかを確認し、Apache httpdを使用している構成が対象外となる点も踏まえて判断することが実務上重要です。対応策としては、開発者が提供する情報に基づく最新版へのアップデートが第一に示されており、アップデートできない場合はワークアラウンドの実施が案内されています。現時点で取得できた本文からは、具体的な攻撃事例の有無、影響を受ける可能性のある範囲の詳細、ワークアラウンドの具体的な手順などを確認できませんでした。詳細は公式出典をご確認ください。

公式出典

JPCERT/CCおよびIPA（JVN）

更新履歴

公開日: 2026-11-09 ／最終確認: 2026-11-09

執筆・確認主体

この記事は、上記の公式出典を一次情報として PRaze編集部（株式会社スキルマーク）が構造化・要約したものです。要約と分類の生成にはAIを使用しています。

数値・日付・組織名・金額は公式発表の原文から転記しており、原文に記載のない事項を補って書くことはしていません。内容の正確性は公式出典をご確認ください。

編集・公開: PRaze編集部（株式会社スキルマーク）／出典確認日: 2026-11-09