概要
コンテンツ管理システム（CMS）であるStatamicにおいて、保存型クロスサイトスクリプティング（XSS）の脆弱性（CVE-2026-28426）が報告されました。この脆弱性は、SVGおよびアイコン関連のコンポーネントに存在し、適切な権限を持つ認証済みユーザーが、より高い権限を持つユーザーが閲覧した際に実行される悪意のあるJavaScriptコードを注入できる可能性があります。
影響範囲
この脆弱性の影響を受けるのは、以下のStatamicのバージョンです。
- Statamic バージョン 5.73.11 より前のバージョン
- Statamic バージョン 6.4.0 より前のバージョン
本脆弱性は、バージョン 5.73.11 および 6.4.0 で修正されています。
想定される影響
本脆弱性が悪用された場合、以下のような影響が想定されます。
- 認証された攻撃者が、高権限ユーザー（例：管理者）のセッションで任意のJavaScriptコードを実行できる可能性があります。
- これにより、セッションハイジャック、機密情報の窃取、Webサイトの改ざん、さらにはシステムへの不正アクセスなど、権限昇格につながる深刻な影響が発生する可能性があります。
攻撃成立条件・悪用状況
攻撃が成立するためには、攻撃者がStatamic CMSへの認証済みアクセス権限を持ち、脆弱性のあるSVGまたはアイコン関連コンポーネントに悪意のあるスクリプトを保存できる権限が必要です。その後、高権限ユーザーが、その悪意のあるスクリプトが埋め込まれたコンテンツを閲覧することで攻撃が成立すると考えられます。
現在のところ、この脆弱性の悪用状況に関する具体的な報告は不明です。
推奨対策
最優先で実施すべき対策
- Statamicのアップデート: 脆弱性が修正されたバージョン（5.73.11 または 6.4.0 以降）に速やかにアップデートしてください。
中長期的な対策
- アクセス制御の強化: CMSの管理画面へのアクセスを厳格に制限し、多要素認証（MFA）の導入を検討してください。
- セキュリティ監査の実施: 定期的なセキュリティ監査を実施し、不審な活動や設定ミスがないか確認してください。
一時的な緩和策
直ちにアップデートが困難な場合は、以下の緩和策を検討してください。
- コンテンツ入力の厳格なレビュー: 信頼できないユーザーからのコンテンツ入力を厳しくレビューし、特にSVGやアイコンのアップロード機能について注意を払ってください。可能であれば、これらの機能を一時的に制限または無効化することも検討してください。
- WAFの導入・設定: Webアプリケーションファイアウォール（WAF）を導入し、XSS攻撃パターンを検出・ブロックするルールを適用してください。
確認方法
現在使用しているStatamicのバージョンを確認し、修正済みバージョンと比較することで、本脆弱性の影響を受けるかどうかを判断できます。また、システムログやWAFのログを監視し、不審な活動がないか定期的に確認することをお勧めします。
参考情報
- CVE-2026-28426の詳細情報: https://cvefeed.io/vuln/detail/CVE-2026-28426