freo2におけるアップロードするファイルの検証が不十分な脆弱性
最終確認日: 2026-08-04
この発表の要点
- refirioが提供するCMS「freo2」のVer 2.0.0-alpha-14より前のバージョンに、ファイルアップロード検証不十分の脆弱性が存在する。
- 最上位管理権限ユーザーが悪用した場合、任意のOSコマンド実行の可能性がある。
- 開発者は最新版へのアップデートを推奨している。
企業・自治体への影響
freo2を利用している企業や自治体は、システムが不正なOSコマンド実行のリスクに晒される可能性があります。特に、情報システム部門やウェブサイト運用部門は、速やかに脆弱性の影響範囲を確認し、対応を検討する必要があります。
対応すべきこと
- 自社でfreo2を利用しているか確認する。
- 利用している場合、バージョンが脆弱性の対象であるか確認する。
- 対象バージョンである場合、開発者の提供する情報に基づき最新版へアップデートする。
- 情報システム部門やウェブサイト運用部門へ本件を共有し、対応を指示する。
対象部門： 情シス 広報
対応期限：速やかに確認
基本データ
| 企業・団体 | JPCERT/CC and IPA |
|---|---|
| 業界 | IT・ソフトウェア |
| 発表日 | 2026-08-04 |
| 分類 | サイバーセキュリティ |
発表された内容
公開日：2026/08/04 最終更新日：2026/08/04
JVN#52865575
freo2におけるアップロードするファイルの検証が不十分な脆弱性
refirioが提供するfreo2には、アップロードするファイルの検証が不十分な脆弱性が存在します。
freo2 Ver 2.0.0-alpha-14より前のバージョン
refirioが提供するfreo2は、PHPで作成されたコンテンツ管理システムです。freo2には、次の脆弱性があります。
アップロードするファイルの検証が不十分（CWE-434）
CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 8.6
CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H 基本値 7.2
CVE-2026-67243
当該製品における最上位の管理権限を保持するユーザーが実行可能ファイルをアップロードして、任意のOSコマンドを実行する可能性があります。
アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
ベンダ
リンク
refirio
Commits · refirio/freo2 · GitHub
この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方がIPAに報告し、JPCERT/CCが開発者との調整を行いました。
報告者：三井物産セキュアディレクション株式会社 小澤和希 氏
JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
CVE-2026-67243
JVN iPedia
JVNDB-2026-000107
Copyright (c) 2000-2026 JPCERT/CC and IPA. All rights reserved.
出典: jvn@jvn.jp
URL: https://jvn.jp/jp/JVN52865575/
時系列
- 2026-08-04 freo2におけるアップロードするファイルの検証が不十分な脆弱性情報がJVNにて公開された。
主な数値
| 脆弱性対象バージョン | 2.0.0-alpha-14より前のバージョン |
|---|---|
| CVSSv4.0基本値 | 8.6点 |
| CVSSv3.0基本値 | 7.2点 |
この事例から確認すべきポイント
この脆弱性情報は、コンテンツ管理システム「freo2」におけるファイルアップロード機能のセキュリティリスクを指摘しています。特に、最上位の管理権限を持つユーザーが悪用した場合、任意のOSコマンド実行に至る可能性がある点は重大です。これは、システム管理者アカウントが侵害された際の被害が甚大になることを示唆しており、管理者アカウントの厳格な管理と多要素認証の導入の重要性を再認識させます。また、CWE-434（アップロードするファイルの検証が不十分）は一般的な脆弱性タイプであり、ファイルアップロード機能を実装するあらゆるシステム開発において、ファイルの種類、サイズ、内容の厳格な検証が不可欠であることを示しています。開発者は、セキュリティアップデートの迅速な提供と、ユーザーへの周知を徹底する必要があります。利用企業は、速やかにシステムのバージョンを確認し、最新版へのアップデートを適用することが求められます。
公式出典
更新履歴
公開日: 2026-08-04 ／ 最終確認: 2026-08-04
執筆・確認主体
この記事は、上記の公式出典を一次情報として PRaze編集部（株式会社スキルマーク）が構造化・要約したものです。 要約と分類の生成にはAIを使用しています。
数値・日付・組織名・金額は公式発表の原文から転記しており、 原文に記載のない事項を補って書くことはしていません。 内容の正確性は公式出典をご確認ください。
編集・公開: PRaze編集部（株式会社スキルマーク） ／ 出典確認日: 2026-08-04
関連事例
- ISC BINDにおける複数の脆弱性（2026年9月）
- DokployにおけるOSコマンドインジェクションの脆弱性
- MLflowのdspyとstatsmodelsフレーバーにおけるpickleのデシリアライズ制御回避の脆弱性
- Sentry Seerにおける攻撃者が制御する入力が管理者権限で実行される脆弱性
- QNDにおける複数の脆弱性
自社のプレスリリースをPRazeに掲載しませんか？
無料でプレスリリースを掲載する