概要
OpenCart 4.1.0.3の拡張機能インストーラーコンポーネントのinstaller.phpファイルに、パス・トラバーサルの脆弱性（CVE-2026-5331）が確認されました。
この脆弱性はリモートから悪用される可能性があり、攻撃コードが既に公開されていると報告されています。
ベンダーへの連絡は試みられたものの、現時点では応答がないとのことです。
深刻度は「MEDIUM」（CVSSスコア5.8相当）と評価されています。
影響範囲
- OpenCart 4.1.0.3が影響を受けると報告されています。
- 特に、拡張機能インストーラーページに関連する
installer.phpファイルが影響を受けるとされています。
想定される影響
攻撃者は、この脆弱性を悪用することで、システム上の意図しないディレクトリやファイルにアクセスできる可能性があります。
これにより、機密情報の漏洩や、設定ファイルの改ざんなど、さらなる攻撃の足がかりとなる恐れがあります。
攻撃成立条件・悪用状況
攻撃成立条件
- OpenCart 4.1.0.3を使用している環境。
- 拡張機能インストーラーが利用可能な状態であること。
- リモートからの攻撃が可能であると報告されています。
悪用状況
- この脆弱性のエクスプロイトコードは既に公開されていると報告されており、悪用されるリスクが高いと考えられます。
- ベンダーからの公式なパッチは現時点では提供されていません。
推奨対策
今すぐできる対策（優先度：高）
- 情報収集の継続: OpenCartの公式アナウンスやセキュリティ情報に注意を払い、パッチがリリースされ次第、速やかに適用してください。
- アクセス制限の強化: 拡張機能インストーラーへのアクセスを、信頼できるIPアドレスからのみに制限するなど、ネットワークレベルでのアクセス制御を検討してください。
中長期的な対策
- Webアプリケーションファイアウォール（WAF）の導入・設定強化: パス・トラバーサル攻撃パターンを検知・ブロックできるようWAFの設定を見直してください。
- 定期的なバックアップ: 万が一の事態に備え、システムとデータの定期的なバックアップを確実に実施してください。
- セキュリティ監視の強化: 不審なファイルアクセスや異常な挙動がないか、ログ監視を強化してください。
一時的な緩和策
拡張機能インストーラーが不要な場合は、一時的に無効化するか、関連ファイルへのアクセス権限を最小限に制限することを検討してください。ただし、これによりOpenCartの機能に影響が出る可能性があるため、十分なテストが必要です。
確認方法
- ご自身のOpenCartのバージョンが4.1.0.3であるかを確認してください。
installer.phpファイルがシステム上に存在し、アクセス可能な状態であるかを確認してください。
参考情報
詳細については、以下の情報を参照してください。