プラットフォーム
php
コンポーネント
pens
修正版
2.0.0-RC.3
CVE-2026-34160は、Chamilo LMSのPENS（Package Exchange Notification Services）プラグインにおけるServer-Side Request Forgery (SSRF) 脆弱性です。この脆弱性は、認証なしでpens.phpエンドポイントにアクセスし、package-urlパラメータを介してサーバーがcurlでリクエストを送信する際に、内部IPアドレスや機密情報へのアクセスを適切に制限していないことが原因です。影響を受けるバージョンはChamilo LMS 1.0.0から2.0-RC.3までの間です。この脆弱性はバージョン2.0.0-RC.3で修正されています。
このSSRF脆弱性を悪用されると、攻撃者は認証なしでChamilo LMSサーバーから任意の内部ネットワークリソースにアクセスできます。具体的には、内部サービスをスキャンしたり、クラウドメタデータエンドポイント（例：169.254.169.254）からIAMクレデンシャルや機密インスタンスメタデータを盗むことが可能です。攻撃者は、この情報を利用して、Chamilo LMSサーバーがアクセスできるリソースへの不正アクセスを試み、さらなる攻撃に繋げる可能性があります。この脆弱性は、Log4Shellのような広範囲な影響を及ぼす可能性を秘めています。
CVE-2026-34160は、2026年4月14日に公開されました。現時点では、KEV（Known Exploited Vulnerabilities）リストには登録されていません。EPSS（Exploit Prediction Score System）のスコアは、公開された情報から判断すると、中程度の確率で悪用される可能性があります。現時点で公開されているPoC（Proof of Concept）は確認されていませんが、SSRF脆弱性であるため、攻撃者による悪用が懸念されます。
Organizations utilizing Chamilo LMS, particularly those deploying it in cloud environments (AWS, Azure, GCP), are at significant risk. Shared hosting environments where multiple Chamilo instances reside on the same server are also vulnerable, as a compromise of one instance could potentially lead to the compromise of others. Legacy Chamilo installations that have not been regularly updated are especially susceptible.
• web: Use curl or wget to check if the pens.php endpoint is accessible without authentication and if the package-url parameter accepts arbitrary URLs.
curl -I http://your-chamilo-instance/public/plugin/Pens/pens.php?package-url=http://169.254.169.254/latest/meta-data/iam/security-credentials/admin• generic web: Examine access and error logs for requests to pens.php with unusual or internal IP addresses in the package-url parameter.
• php: Review the pens.php file for the absence of input validation on the package-url parameter.
disclosure
エクスプロイト状況
EPSS
0.06% (19% パーセンタイル)
CISA SSVC
この脆弱性への最も効果的な対策は、Chamilo LMSをバージョン2.0.0-RC.3にアップデートすることです。もしアップデートが困難な場合は、一時的な回避策として、WAF（Web Application Firewall）またはリバースプロキシを設定し、pens.phpエンドポイントへのリクエストにおけるpackage-urlパラメータの値を検証し、内部IPアドレスや機密エンドポイントへのアクセスをブロックしてください。また、Chamilo LMSのネットワーク設定を見直し、不要なポートを閉じ、内部ネットワークへのアクセスを制限することも有効です。アップデート後、pens.phpエンドポイントに任意のURLを指定してリクエストを送信し、内部リソースへのアクセスがブロックされていることを確認してください。
SSRFの脆弱性を軽減するために、PENSプラグインをバージョン2.0.0-RC.3以降にアップデートしてください。このアップデートでは、サーバーがプライベートまたは内部IPアドレスからデータを取得できないようにするためのフィルタが実装されており、不正な内部リソースへのアクセスを防ぎます。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-34160は、Chamilo LMSのPENSプラグインにおけるServer-Side Request Forgery (SSRF) 脆弱性です。攻撃者は認証なしで内部ネットワークをスキャンしたり、機密情報を盗む可能性があります。
Chamilo LMSのバージョンが1.0.0から2.0-RC.3までのいずれかである場合、この脆弱性の影響を受けています。
Chamilo LMSをバージョン2.0.0-RC.3にアップデートすることで修正できます。
現時点では、悪用事例は確認されていませんが、SSRF脆弱性であるため、悪用される可能性があります。
Chamilo LMSの公式ウェブサイトまたはセキュリティアドバイザリページで確認してください。
CVSS ベクトル