プラットフォーム
php
コンポーネント
espocrm
修正版
9.3.5
EspoCRMはオープンソースの顧客関係管理アプリケーションです。バージョン9.3.3以前では、/api/v1/Attachment/fromImageUrlエンドポイントにサーバーサイドリクエストフォージェリ（SSRF）の脆弱性が存在します。この脆弱性は、DNSリバインディング（TOCTOU）条件を利用することで、攻撃者が意図しないサーバーへのリクエストを送信することを可能にします。影響を受けるバージョンは9.3.3以前であり、9.3.4で修正されています。
このSSRF脆弱性を悪用されると、攻撃者はEspoCRMサーバーから内部ネットワーク上の機密情報にアクセスしたり、外部サーバーに悪意のあるリクエストを送信したりする可能性があります。例えば、内部データベースサーバーや管理インターフェースへのアクセスを試みたり、他のシステムへの攻撃の踏み台として利用したりすることが考えられます。DNSリバインディング攻撃は、一時的に異なるIPアドレスを解決させることで、ホスト検証を回避する手法であり、この脆弱性の悪用を容易にする可能性があります。攻撃者は、EspoCRMサーバーを介して、本来アクセスできないはずの内部リソースにアクセスし、機密情報を窃取する可能性があります。
この脆弱性は、2026年4月13日に公開されました。現時点では、公開されているPoCは確認されていませんが、SSRF脆弱性は一般的に悪用が容易であり、今後PoCが公開される可能性があります。CISA KEVリストへの登録状況は不明です。この脆弱性は、DNSリバインディング攻撃という既知の攻撃手法を利用しており、攻撃者による悪用が懸念されます。
エクスプロイト状況
EPSS
0.04% (13% パーセンタイル)
CISA SSVC
CVSS ベクトル
EspoCRMのバージョンを9.3.4以降にアップグレードすることが、この脆弱性に対する最も効果的な対策です。アップグレードが困難な場合は、WAF（Web Application Firewall）を導入し、SSRF攻撃を検知・防御するルールを設定することを検討してください。また、curlのタイムアウト設定を適切に構成し、DNSリバインディング攻撃による異常なリクエストを制限することも有効です。EspoCRMのファイアウォール設定を強化し、不要なポートを閉じることも推奨されます。アップグレード後、EspoCRMのログを監視し、SSRF攻撃の兆候がないか確認してください。
SSRF の脆弱性を軽減するために、EspoCRM をバージョン 9.3.4 以降にアップデートしてください。このアップデートはホスト検証を修正し、同じホスト名に対して異なる IP アドレスが使用されないようにすることで、内部ネットワークへの不正アクセスを防ぎます。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-33659は、EspoCRM 9.3.3以前の/api/v1/Attachment/fromImageUrlエンドポイントにおけるサーバーサイドリクエストフォージェリ（SSRF）の脆弱性です。攻撃者はDNSリバインディングを利用して、意図しないサーバーへのリクエストを送信できます。
EspoCRMのバージョンが9.3.3以前の場合は、この脆弱性の影響を受けます。9.3.4以降にアップグレードしてください。
EspoCRMのバージョンを9.3.4以降にアップグレードしてください。アップグレードが難しい場合は、WAFを導入してSSRF攻撃を防御することを検討してください。
現時点では、公開されているPoCは確認されていませんが、SSRF脆弱性は一般的に悪用が容易であり、今後悪用される可能性があります。
EspoCRMの公式ウェブサイトまたはセキュリティアドバイザリページで、CVE-2026-33659に関する情報を確認してください。