概要
CVE-2026-28736は、プロジェクト管理ツールであるFocalboardのバージョン8.0に存在する、ファイルアクセスに関する脆弱性です。この脆弱性は、アップロードされたファイルを配信する際に、システムがファイル所有権の検証を適切に行わないことに起因します。これにより、認証済みの攻撃者が、被害者のファイルIDを特定することで、他のユーザーがアップロードしたファイルの内容を不正に閲覧できる可能性があります。
重要な点として、Focalboardはスタンドアロン製品としては現在メンテナンスされておらず、この脆弱性に対する修正パッチは提供されないと報告されています。
影響範囲
本脆弱性の影響を受けるのは、Focalboardバージョン8.0と報告されています。Focalboardのスタンドアロン製品はサポートが終了しているため、他のバージョンへの影響や修正の有無は不明確です。
想定される影響
認証済みの攻撃者が、特定のファイルIDを知ることで、他のユーザーがアップロードしたファイルの内容を不正に閲覧できる可能性があります。これにより、Focalboard上に保存されていた機密情報、個人情報、プロジェクト関連データなどが意図せず第三者に漏洩する恐れがあります。
攻撃成立条件・悪用状況
攻撃が成立するためには、以下の条件を満たす必要があると報告されています。
- 攻撃者はFocalboardシステムに認証済みである必要があります。
- 攻撃者は、標的とするユーザーのファイルIDを知っている必要があります。
現時点では、この脆弱性が実際に悪用されたという具体的な報告は確認されていません。
推奨対策
今すぐできる対策（優先度：高）
- Focalboardの利用停止または代替製品への移行検討: 本製品はサポートが終了しており、修正パッチが提供されないため、最も根本的な解決策は利用を停止し、サポートが継続している代替製品への移行を検討することです。
- Focalboardへのアクセス制限の強化: Focalboardが稼働している環境のネットワーク分離を強化し、外部からのアクセスを厳しく制限してください。可能であれば、VPN経由でのみアクセスを許可するなどの対策を検討してください。
- 機密情報の保存停止: Focalboardに機密性の高い情報や個人情報を保存することを直ちに停止してください。
中長期的な対策
- システム全体のセキュリティ監査: 社内で利用している全てのソフトウェアについて、サポート状況の棚卸しとセキュリティ監査を実施し、サポート切れのソフトウェアがないかを確認し、適切な対策を講じる計画を策定・実行してください。
- 代替製品への移行計画: サポートが継続している、よりセキュアなプロジェクト管理ツールや情報共有ツールへの移行計画を具体的に策定し、実行に移してください。
一時的な緩和策
- Focalboardへのアクセスを信頼できるユーザーに限定し、不必要なアカウントを削除または無効化してください。
- Focalboardがインターネットに公開されている場合は、Webアプリケーションファイアウォール（WAF）などを導入し、不審なアクセスをブロックする設定を検討してください。
確認方法
- 現在利用しているFocalboardのバージョンが8.0であるかを確認してください。
- Focalboardがスタンドアロン製品として利用されているかを確認してください。
参考情報
- CVE-2026-28736詳細: https://cvefeed.io/vuln/detail/CVE-2026-28736