XenForo Passkey セキュリティバイパス

この脆弱性を悪用されると、攻撃者はPasskeyを利用して認証を回避し、ユーザーアカウントに不正にアクセスする可能性があります。これにより、機密情報へのアクセス、データの改ざん、さらにはXenForoフォーラム全体の制御権を奪われるリスクがあります。Passkeyは、従来のパスワードよりも安全な認証方法として期待されていますが、この脆弱性により、その利点が損なわれる可能性があります。攻撃者は、この脆弱性を利用して、フォーラムの管理者アカウントを乗っ取り、悪意のあるコードを実行したり、ユーザーデータを盗み出したりする可能性があります。

Organizations and individuals using XenForo versions 2.3.0 through 2.3.7 are at risk. This is particularly concerning for forums with a high reliance on Passkey authentication for user login, as it significantly weakens the security posture of those accounts. Shared hosting environments where multiple users share the same XenForo instance are also at increased risk.

• php: Examine XenForo logs for unusual authentication patterns or errors related to Passkey handling. Look for attempts to bypass authentication mechanisms.

grep -i 'passkey' /path/to/xenforo/logs/error.log

• php: Check XenForo configuration files for any modifications that could weaken authentication security. • generic web: Monitor for unusual login activity or account changes, particularly for users who have enabled Passkey authentication.

1. 2026-04-01Disclosure

   disclosure

1. 予約済み2026-04-01
2. 公開日2026-04-01
3. EPSS 更新日2026-04-08

この脆弱性への最も効果的な対策は、XenForoをバージョン2.3.7にアップデートすることです。アップデートがすぐに利用できない場合、Passkey認証の使用を一時的に停止するか、より強力な認証方法（二段階認証など）を導入することを検討してください。WAF（Web Application Firewall）を導入し、Passkey認証に関連する不正なリクエストをブロックすることも有効です。XenForoのログを監視し、異常なアクティビティがないか確認することも重要です。