CVE-2026-21433は、Emlog CMSのバージョン2.5.19以前に発見されたサーバーサイドのリクエストフォワード（SSRF）脆弱性です。攻撃者は、悪意のあるSVGファイルをアップロードすることで、サーバーが外部リソースにHTTPリクエストを送信するよう誘導し、内部ネットワークの探索や機密情報の漏洩を引き起こす可能性があります。この脆弱性は、Emlog CMSのバージョン2.5.19以前に影響を与え、バージョン2.5.20で修正されています。
このSSRF脆弱性を悪用されると、攻撃者はEmlog CMSサーバーから任意のHTTPリクエストを送信できるようになります。これにより、内部ネットワーク上の機密情報（APIキー、データベース認証情報など）を盗み出したり、内部サービスをスキャンしたりすることが可能になります。さらに、攻撃者はこの脆弱性を利用して、他の内部システムへの攻撃の足がかりとして利用する可能性もあります。この脆弱性は、Emlog CMSサーバーのセキュリティを著しく低下させる可能性があります。
この脆弱性は、2026年1月2日に公開されました。現時点では、公開されているPoCは確認されていませんが、SSRF脆弱性は一般的に悪用が容易であるため、注意が必要です。CISA KEVカタログへの登録状況は不明です。Emlog CMSのセキュリティコミュニティからの情報公開に注意し、最新の脅威情報に基づいて対策を講じる必要があります。
Emlog CMS installations, particularly those running versions prior to 2.5.20, are at risk. Shared hosting environments utilizing Emlog are especially vulnerable, as a compromised account on one site could potentially be used to exploit the SSRF vulnerability on other sites sharing the same server resources.
• php / web server:
grep -r 'http://attacker.com' /var/www/emlog/admin/media• linux / server:
journalctl -u php-fpm -f | grep -i 'attacker.com'• generic web:
curl -I http://your-emlog-site.com/admin/media/malicious.svg | grep -i 'server:'disclosure
エクスプロイト状況
EPSS
0.04% (13% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応策として、まずEmlog CMSをバージョン2.5.20にアップデートすることを推奨します。アップデートが困難な場合は、SVGファイルのアップロードを無効化する、またはアップロードされたSVGファイルの処理を厳格に制限するなどの一時的な回避策を講じる必要があります。WAF（Web Application Firewall）を導入し、SSRF攻撃を検知・防御するルールを設定することも有効です。また、Emlog CMSのログを監視し、不審なHTTPリクエストを検出することも重要です。アップデート後、Emlog CMSのバージョンを確認し、脆弱性が修正されていることを確認してください。
修正バージョンが利用可能な場合は、Emlogを更新してください。既知の修正バージョンがないため、ベンダーのセキュリティアップデートを監視し、公開されたらすぐにパッチを適用することをお勧めします。その間、SVGファイルのアップロードを制限したり、アップロードされたSVGファイル内の外部参照を検証したりするなど、軽減策を実装できます。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-21433は、Emlog CMSのバージョン2.5.19以前に存在するサーバーサイドのリクエストフォワード（SSRF）脆弱性です。攻撃者はSVGファイルのアップロードを通じて、内部ネットワークをスキャンし、機密情報を漏洩させる可能性があります。
Emlog CMSのバージョンが2.5.19以前の場合は、この脆弱性の影響を受けています。バージョン2.5.20にアップデートすることで、脆弱性を修正できます。
Emlog CMSをバージョン2.5.20にアップデートしてください。アップデートが困難な場合は、SVGファイルのアップロードを無効化するなどの回避策を講じる必要があります。
現時点では、公開されているPoCは確認されていませんが、SSRF脆弱性は一般的に悪用が容易であるため、注意が必要です。
Emlog CMSの公式ウェブサイトまたはセキュリティコミュニティの情報を参照してください。