サイバーセキュリティ脆弱性公表・修正済み

GROWIにおける複数の脆弱性

株式会社GROWIが提供するGROWI v8.0.0およびそれ以前のバージョンにおいて、複数の脆弱性（CVE-2026-53620、CVE-2026-68951）が存在することが公表されました。ブックマークフォルダ関連APIや一覧取得APIにおける権限チェック回避・認可処理の不備により、他のユーザーのブックマーク情報が取得・改ざん・削除される恐れがあります。開発者が提供する最新版へのアップデートが推奨されています。

この発表の要点

GROWI v8.0.0およびそれ以前のバージョンに複数の脆弱性が存在
他のユーザーのブックマーク情報の取得・改ざん・削除のおそれあり
修正バージョンであるv8.0.1へアップデートが必要

企業・自治体への影響

GROWIを利用している企業や組織において、情シス部門や開発部門が管理する環境で情報漏えいやデータ改ざんのリスクが生じる可能性があります。

対応すべきこと

自社環境におけるGROWIの利用有無とバージョンを確認する
該当する場合は速やかにv8.0.1へアップデートを実施する
関係部門へ脆弱性情報と対応策を共有する

対象部門： 情シス総務

対応期限：速やかに確認

基本データ

企業・団体	株式会社GROWI
業界	IT・ソフトウェア
発表日	2026-08-28
分類	サイバーセキュリティ

発表された内容

公開日：2026/08/28 最終更新日：2026/08/28

JVN#42348352
GROWIにおける複数の脆弱性

株式会社GROWIが提供するGROWIには、複数の脆弱性が存在します。

GROWI v8.0.0およびそれ以前のバージョン

株式会社GROWIが提供するGROWIには、次の複数の脆弱性が存在します。

ブックマークフォルダ関連APIにおけるユーザ識別情報の操作による権限チェック回避（CWE-639）

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N 基本値 5.3
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L 基本値 6.3
CVE-2026-53620

ブックマーク一覧取得APIにおける認可処理の不備（CWE-863）

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N 基本値 6.9
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N 基本値 5.3
CVE-2026-68951

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

当該製品にログイン可能な攻撃者によって、他のユーザのブックマーク情報が取得、改ざん、削除される（CVE-2026-53620）
当該製品にアクセス可能な攻撃者によって、他のユーザのブックマーク情報が取得される（CVE-2026-68951）

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
本脆弱性は次のバージョンで修正されています。

GROWI v8.0.1

ベンダ
ステータス
ステータス最終更新日
ベンダの告知ページ

株式会社GROWI

該当製品あり

2026/08/28

株式会社GROWI の告知ページ

CVE-2026-53620
この脆弱性情報は、次の方がJPCERT/CCに報告し、JPCERT/CCが開発者との調整を行いました。
報告者: 河本将士氏
また、この脆弱性情報は、同時期に次の方が情報セキュリティ早期警戒パートナーシップに基づき IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 株式会社日本総合研究所大竹文絃氏

CVE-2026-68951
この脆弱性情報は、製品利用者への周知を目的に、開発者がJPCERT/CCに報告し、JPCERT/CCが開発者との調整を行いました。

JPCERT 緊急報告

JPCERT REPORT

CERT Advisory

CPNI Advisory

TRnotes

CVE

CVE-2026-53620

CVE-2026-68951

JVN iPedia

JVNDB-2026-000089

出典: jvn@jvn.jp
URL: https://jvn.jp/jp/JVN42348352/

時系列

2026-08-28　GROWIにおける複数の脆弱性に関する情報が公開された。

主な数値

対象バージョン	v8.0.0およびそれ以前バージョン
修正バージョン	v8.0.1バージョン

この事例から確認すべきポイント

本事例は、ナレッジ管理ツール「GROWI」において認証・認可に関する複数の脆弱性（CVE-2026-53620、CVE-2026-68951）が発見され、修正版がリリースされたというものです。システムにログイン可能な攻撃者や外部からのアクセスにより、他のユーザーのブックマーク情報の取得・改ざん・削除といった不正操作が行われるリスクがあります。実務においては、自社環境で当該製品を利用しているかを早急に棚卸しし、案内されている修正バージョン「v8.0.1」へのアップデートを速やかに実施することが求められます。脆弱性管理体制の強化と迅速なパッチ適用の徹底が不可欠です。

公式出典

jvn@jvn.jp

更新履歴

公開日: 2026-08-28