プラットフォーム
php
コンポーネント
craftcms/cms
修正版
5.0.1
4.0.1
5.9.9
CVE-2026-31857は、Craft CMS 5.9.8以前のバージョンに存在するリモートコード実行（RCE）脆弱性です。この脆弱性は、認証されたコントロールパネルユーザーが、条件ルールを介してシステム上で任意のコードを実行することを可能にします。影響を受けるバージョンはCraft CMS 5.9.8以前であり、バージョン5.9.9へのアップデートで修正されています。
この脆弱性を悪用されると、攻撃者は認証されたコントロールパネルユーザーとしてシステム上で任意のコードを実行できます。これは、機密情報の窃取、システムの改ざん、さらには完全なシステム制御につながる可能性があります。特に、管理者権限を持たないユーザー（著者や編集者など）でもこの脆弱性を悪用できるため、攻撃対象領域が広くなります。Craft CMSの条件ルールシステムにおけるTwigテンプレートの不適切な処理が原因であり、同様の脆弱性が他のCMSやフレームワークでも存在する可能性があります。
この脆弱性は、2026年3月11日に公開されました。現時点では、公開されているPoC（Proof of Concept）は確認されていませんが、RCE脆弱性であるため、悪用される可能性は高いと考えられます。CISA KEV（Known Exploited Vulnerabilities）カタログへの登録状況は不明です。攻撃者は、認証されたユーザーとしてログインし、悪意のある条件ルールを送信することで脆弱性を悪用する可能性があります。
Organizations and individuals using Craft CMS 5.9.8 or earlier, particularly those with non-admin users (Authors, Editors) having Control Panel access, are at significant risk. Shared hosting environments running Craft CMS are also vulnerable, as the attacker could potentially exploit the vulnerability through a compromised user account.
• php: Examine Craft CMS logs for requests to element listing endpoints containing unusual or excessively long condition rule parameters.
grep 'condition_rule' /path/to/craftcms/logs/web.log• php: Check for modified or newly created files in the Craft CMS template directory that could contain malicious code.
find /path/to/craftcms/templates -type f -mtime -1• generic web: Monitor web server access logs for requests originating from unusual IP addresses or user agents targeting Craft CMS element listing endpoints. • generic web: Inspect response headers for unexpected content or redirects that might indicate code execution.
disclosure
エクスプロイト状況
EPSS
0.10% (28% パーセンタイル)
CISA SSVC
最も効果的な対策は、Craft CMSをバージョン5.9.9以降にアップデートすることです。アップデートがすぐに利用できない場合は、コントロールパネルへのアクセスを厳格に制限し、不要なユーザーアカウントを削除することを検討してください。また、WAF（Web Application Firewall）を導入し、悪意のある条件ルールを検出・ブロックするルールを設定することも有効です。Craft CMSのログを監視し、異常なアクティビティがないか確認することも重要です。アップデート後、Craft CMSのバージョンが5.9.9以降であることを確認し、条件ルールが正常に機能していることを確認してください。
Craft CMS を、該当するバージョン 5.9.9 または 4.17.4 にアップデートして、リモートコード実行の脆弱性を軽減してください。このアップデートは、コントロールパネルにおける条件ルールの処理方法を修正し、不要なコードの実行を防ぎます。可能な限り早くアップデートを実施することをお勧めします。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-31857は、Craft CMS 5.9.8以前のバージョンに存在するリモートコード実行（RCE）脆弱性です。認証されたユーザーが、条件ルールを介してシステム上で任意のコードを実行できる可能性があります。
Craft CMSのバージョンが5.9.8以前の場合は影響があります。迅速にバージョン5.9.9以降にアップデートしてください。
Craft CMSをバージョン5.9.9以降にアップデートしてください。アップデートがすぐに利用できない場合は、コントロールパネルへのアクセスを制限し、WAFを導入することを検討してください。
現時点では公開されているPoCは確認されていませんが、RCE脆弱性であるため、悪用される可能性は高いと考えられます。
Craft CMSの公式アドバイザリは、Craft CMSのセキュリティアドバイザリページで確認できます。