CI4MS は、ファイルエディタにおける任意のファイル作成と保存を介したリモートコード実行 (RCE) の脆弱性があります

この脆弱性を悪用されると、攻撃者は認証されたユーザーとしてシステムに侵入し、任意のPHPコードを実行できます。これにより、機密情報の窃取、システムの改ざん、さらには完全なシステム制御の奪取といった深刻な被害が発生する可能性があります。攻撃者は、ファイル作成エンドポイントを悪用して、ウェブサーバーの公開ディレクトリに悪意のあるPHPファイルをアップロードし、ブラウザ経由でアクセスすることでコードを実行できます。この攻撃は、Log4Shellのようなサプライチェーン攻撃のパターンに類似しており、広範囲に影響を及ぼす可能性があります。

Organizations using ci4-cms-erp/ci4ms in production environments, particularly those with multiple users having file editor permissions, are at significant risk. Shared hosting environments where multiple users share the same server and file system are especially vulnerable.

• php: Examine web server access logs for requests to /backend/fileeditor/createFile and /backend/fileeditor/save from authenticated users. Look for unusual file extensions (e.g., .php) being created in web-accessible directories like /public.

grep -i 'fileeditor/createFile|fileeditor/save' /var/log/apache2/access.log

• php: Check the file system for newly created PHP files in web-accessible directories (e.g., /public) with suspicious names or content.

find /var/www/html/public -name '*.php' -newermt '2026-02-02'

• generic web: Monitor for unusual PHP process executions on the server.

ps aux | grep php

1. 2026-02-02Disclosure

   disclosure

1. 予約済み2026-02-02
2. 公開日2026-02-02
3. 更新日2026-02-04
4. EPSS 更新日2026-03-23

まず、ci4-cms-erp/ci4msをバージョン0.28.5.0にアップデートすることを強く推奨します。アップデートがすぐに利用できない場合、ファイル編集機能のアクセス制御を強化し、信頼できないユーザーからのファイルアップロードを制限してください。WAF（Web Application Firewall）を導入し、悪意のあるPHPファイルのアップロードを検知・ブロックするルールを設定することも有効です。また、ファイルアップロードディレクトリのパーミッションを適切に設定し、ウェブサーバーが書き込みできないように制限することも重要です。アップデート後、ファイル編集機能が正常に動作することを確認してください。