プラットフォーム
php
コンポーネント
chamilo-lms
修正版
1.11.39
CVE-2026-33706は、Chamilo LMSのバージョン1.11.0から1.11.38において発見された特権昇格の脆弱性です。認証されたユーザーがREST APIキーを悪用することで、自身のユーザーステータスを不正に変更し、本来アクセスできないコースの作成や管理といった権限を獲得する可能性があります。この脆弱性は、Chamilo LMSのバージョン1.11.38で修正されています。
この脆弱性を悪用されると、攻撃者は認証済みユーザーとしてシステムにアクセスし、自身のステータスを学生（status=5）から教師/コースマネージャー（status=1）に変更できます。これにより、攻撃者はコースの作成、編集、削除といった管理機能にアクセスできるようになり、学習コンテンツの改ざん、不正なユーザー登録、システム設定の変更など、広範囲な影響を及ぼす可能性があります。特に、コースの管理者権限を取得することで、システム全体のセキュリティを脅かす行為が可能になります。この脆弱性は、学習管理システムにおける機密情報の漏洩や、不正な操作によるシステム破壊につながる重大なリスクをもたらします。
この脆弱性は、2026年4月10日に公開されました。現時点では、公開されているPoCは確認されていませんが、REST APIの脆弱性は悪用事例が多く、今後、攻撃者による悪用が懸念されます。CISA KEVへの登録状況は確認されていません。この脆弱性の悪用は、学習管理システムにおける機密情報の漏洩や、不正な操作によるシステム破壊につながる可能性があります。
エクスプロイト状況
EPSS
0.03% (8% パーセンタイル)
CISA SSVC
Chamilo LMSのバージョンを1.11.38以上にアップデートすることが、この脆弱性に対する最も効果的な対策です。アップデートが困難な場合は、REST APIのアクセス制限を強化し、不正なステータス変更を防止するカスタムルールを実装することを検討してください。WAF（Web Application Firewall）を導入し、不正なAPIリクエストを検知・遮断するルールを設定することも有効です。また、APIキーの管理を徹底し、不要なAPIキーを削除し、定期的にAPIキーのローテーションを実施することで、攻撃のリスクを軽減できます。
Chamilo LMS をバージョン 1.11.38 以降にアップデートすることで、権限昇格の脆弱性を軽減できます。アップデートは、REST API を介したユーザーのステータス更新方法を修正し、生徒が教師またはコースマネージャーのロールに自己昇格することを防ぎます。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-33706は、Chamilo LMSのバージョン1.11.0から1.11.38において、認証済みユーザーが自身のステータスを不正に変更し、教師/コースマネージャーの権限を取得できる特権昇格の脆弱性です。
Chamilo LMSのバージョン1.11.0から1.11.38を使用している場合は、影響を受ける可能性があります。攻撃者はこの脆弱性を悪用して、コースの作成や管理といった管理機能にアクセスし、システムを不正に操作する可能性があります。
Chamilo LMSのバージョンを1.11.38以上にアップデートすることが推奨されます。アップデートが困難な場合は、REST APIのアクセス制限を強化し、WAFを導入するなど、緩和策を講じる必要があります。
現時点では、公開されているPoCは確認されていませんが、REST APIの脆弱性は悪用事例が多く、今後、攻撃者による悪用が懸念されます。
Chamilo LMSの公式ウェブサイトまたはセキュリティアドバイザリページで、CVE-2026-33706に関する情報を確認してください。
CVSS ベクトル