CVE-2026-28281は、InstantCMSにおけるクロスサイトリクエストフォージェリ（CSRF）の脆弱性です。この脆弱性により、攻撃者は認証されたユーザーの権限を悪用し、意図しない操作を実行する可能性があります。影響を受けるバージョンは2.18.1以前であり、2.18.1で修正されました。
このCSRF脆弱性は、攻撃者が認証されたユーザーとして様々な操作を実行することを可能にします。具体的には、攻撃者はユーザーにモデレーター権限を付与したり、スケジュールされたタスクを実行したり、投稿をゴミ箱に移動させたり、友人リクエストを承認したりすることができます。これにより、ウェブサイトのコンテンツが改ざんされたり、ユーザーアカウントが不正に操作されたりする可能性があります。攻撃者は、悪意のあるウェブサイトやメールを通じて、ユーザーを騙して脆弱なInstantCMSインスタンスに対してリクエストを送信させることができます。
この脆弱性は、2026年3月9日に公開されました。現時点では、公的なPoCは確認されていませんが、CSRF攻撃は比較的容易に実行できるため、悪用される可能性はあります。CISA KEVリストへの登録状況は不明です。
Organizations and individuals using InstantCMS versions prior to 2.18.1 are at risk. This includes websites and applications relying on InstantCMS for content management, particularly those with a large user base or sensitive data. Shared hosting environments using InstantCMS are also at increased risk due to the potential for cross-tenant exploitation.
• php / web:
curl -I <your_instantcms_url> | grep -i 'csrf-token'• php / web: Examine the source code for missing or improperly validated CSRF tokens in forms and sensitive actions. • generic web: Monitor access logs for unusual requests originating from different IP addresses than the user's typical location. • generic web: Check for suspicious POST requests containing unexpected parameters or actions.
disclosure
エクスプロイト状況
EPSS
0.02% (4% パーセンタイル)
CISA SSVC
CVSS ベクトル
この脆弱性への対応策として、InstantCMSをバージョン2.18.1にアップデートすることを強く推奨します。アップデートできない場合は、ウェブアプリケーションファイアウォール（WAF）を使用してCSRF攻撃をブロックしたり、カスタムのCSRF対策を実装したりすることを検討してください。また、ユーザーに不審なリンクをクリックしないように注意喚起することも重要です。WAFルールは、POSTリクエストのRefererヘッダーを検証し、InstantCMSインスタンスからのリクエストのみを受け入れるように設定できます。
InstantCMS をバージョン 2.18.1 以降にアップデートしてください。このバージョンは、攻撃者がユーザーの代わりに不正なアクションを実行することを可能にする CSRF の脆弱性を修正しています。ウェブサイトを潜在的な攻撃から保護するために、アップデートは不可欠です。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-28281は、InstantCMSのバージョン2.18.1以前におけるクロスサイトリクエストフォージェリ（CSRF）の脆弱性です。攻撃者は、認証されたユーザーの権限を悪用し、意図しない操作を実行する可能性があります。
はい、InstantCMSのバージョン2.18.1以前を使用している場合は、この脆弱性により攻撃を受ける可能性があります。攻撃者は、ユーザーの権限を悪用し、ウェブサイトのコンテンツを改ざんしたり、アカウントを不正に操作したりする可能性があります。
この脆弱性を修正するには、InstantCMSをバージョン2.18.1にアップデートすることを強く推奨します。アップデートできない場合は、WAFを使用してCSRF攻撃をブロックすることを検討してください。
現時点では、公的なPoCは確認されていませんが、CSRF攻撃は比較的容易に実行できるため、悪用される可能性はあります。
InstantCMSの公式アドバイザリは、InstantCMSのウェブサイトで確認できます。詳細な情報については、InstantCMSのセキュリティページを参照してください。