baserCMS: リモートコード実行 (RCE) につながる OS コマンドインジェクション (OS Command Injection)

baserCMS の CVE-2026-21861 は、リモートコード実行 (RCE) の重大な脆弱性を示しています。認証された CMS 管理者は、この脆弱性を悪用して、サーバー上の任意のオペレーティングシステムコマンドを実行できます。これは、管理パネルから送信された特定のパラメータが、適切な検証またはエスケープ処理なしに exec() 関数に渡されるためです。問題の重大度は CVSS スケールで 9.1 と評価されており、システム機密性、完全性、可用性に対する潜在的に壊滅的な影響を示しています。悪用が成功すると、サーバーの完全な乗っ取り、データ損失、サービスの中断につながる可能性があります。baserCMS システムを保護するために、この脆弱性を直ちに修正することが不可欠です。

Organizations using basercms for content management, particularly those with legacy configurations or limited security expertise, are at significant risk. Shared hosting environments where multiple users share the same server are also vulnerable, as a compromised basercms installation could potentially impact other websites hosted on the same server. Administrators who have not implemented strong password policies or multi-factor authentication are also at increased risk.

• php / server:

find /var/www/basercms -type f -name '*.php' -exec grep -i 'exec(' {} + | tee basercms_exec_usage.log

• php / server:

journalctl -u php-fpm -f | grep -i "exec"

• generic web:

curl -I http://your-basercms-site.com/admin/core_update.php | grep -i 'Server'

1. 2026-03-31Disclosure

   disclosure

2. 2026-03-31Patch

   patch

1. 予約済み2026-01-05
2. 公開日2026-03-31
3. EPSS 更新日2026-04-07

この脆弱性に対する公式の修正は、baserCMS をバージョン 5.2.3 以降に更新することです。この更新には、exec() 関数にパラメータを渡す前に、パラメータを適切に検証およびエスケープするための必要な修正が含まれています。その間、一時的な措置として、管理パネルへのアクセスを承認されたユーザーに制限し、システムログで疑わしいアクティビティを監視することを推奨します。Web Application Firewall (WAF) を実装して、悪意のあるトラフィックをフィルタリングすることも検討してください。悪用のリスクを最小限に抑えるために、できるだけ早く更新を適用することが重要です。更新を適用する前に、システム全体のバックアップを作成することを推奨します。