CVE-2025-70811 は、phpBB の管理コントロールパネルのアイコン管理機能におけるクロスサイトリクエストフォージェリ (CSRF) の脆弱性です。この脆弱性を悪用されると、攻撃者は認証されたユーザーになりすまして、不正な操作を実行する可能性があります。影響を受けるバージョンは phpBB 3.3.15 以前です。最新バージョンへのアップデートにより、この脆弱性は修正されています。
影響と攻撃シナリオ
この CSRF 脆弱性は、攻撃者が認証された phpBB 管理者の権限を悪用し、システム設定の変更、ユーザーアカウントの操作、またはその他の管理操作を実行することを可能にします。アイコン管理機能の脆弱性を利用することで、攻撃者は管理者として行動し、phpBB インスタンスを制御する可能性があります。特に、悪意のあるスクリプトの実行や、機密情報の窃取につながる可能性があります。この脆弱性は、phpBB を利用している組織のセキュリティとデータ保護に重大なリスクをもたらします。
悪用の状況
この脆弱性は、2026年4月9日に公開されました。現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、CSRF は一般的に悪用されやすい脆弱性であるため、注意が必要です。公開されているエクスプロイトコードは確認されていません。KEV (Known Exploited Vulnerabilities) への登録状況や EPSS (Exploit Prediction Score System) スコアは、現時点では利用できません。
脅威インテリジェンス
エクスプロイト状況
EPSS
0.02% (4% パーセンタイル)
影響を受けるソフトウェア
タイムライン
- 公開日
- 更新日
- EPSS 更新日
緩和策と回避策
CVE-2025-70811 の軽減策として、まず phpBB を最新バージョン 3.3.15 以降にアップデートすることを強く推奨します。アップデートがすぐに利用できない場合は、CSRF トークンを実装するカスタムのセキュリティ対策を検討してください。WAF (Web Application Firewall) を使用して、悪意のある CSRF リクエストをブロックすることも有効です。また、管理者のアカウントへのアクセスを制限し、多要素認証 (MFA) を有効にすることで、攻撃のリスクを軽減できます。アップデート後、phpBB の管理パネルでセキュリティ設定を確認し、不要な機能が無効になっていることを確認してください。
修正方法翻訳中…
Actualice phpBB a una versión corregida para mitigar la vulnerabilidad de Cross-Site Request Forgery (CSRF) en la funcionalidad de gestión de iconos del panel de control de administración. Consulte las notas de la versión de phpBB para obtener instrucciones específicas de actualización.
よくある質問
CVE-2025-70811 — CSRF in phpBB とは何ですか？
CVE-2025-70811 は、phpBB 3.3.15 以前のバージョンにおけるクロスサイトリクエストフォージェリ (CSRF) の脆弱性です。攻撃者は、この脆弱性を悪用して、認証されたユーザーになりすまして不正な操作を実行できます。
CVE-2025-70811 in phpBB で影響を受けますか？
phpBB 3.3.15 以前のバージョンを使用している場合は、この脆弱性の影響を受けます。最新バージョンへのアップデートを推奨します。
CVE-2025-70811 in phpBB を修正するにはどうすればよいですか？
phpBB を最新バージョン 3.3.15 以降にアップデートしてください。アップデートがすぐに利用できない場合は、CSRF トークンを実装するカスタムのセキュリティ対策を検討してください。
CVE-2025-70811 は積極的に悪用されていますか？
現時点では、この脆弱性を悪用した具体的な攻撃事例は報告されていませんが、CSRF は一般的に悪用されやすい脆弱性であるため、注意が必要です。
CVE-2025-70811 の phpBB の公式アドバイザリはどこで入手できますか？
phpBB の公式アドバイザリは、phpBB のセキュリティアナウンスメントページで確認できます。https://www.phpbb.com/support/security/
今すぐ試す — アカウント不要
Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
依存関係ファイルをドラッグ＆ドロップ
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...