CVE-2026-40866 は Horilla HRMS における脆弱性です。バージョン 1.5.0 では、従業員ドキュメントのアップロードエンドポイントにおける不安全なダイレクトオブジェクト参照により、認証されたユーザーはドキュメント ID をリクエストで変更することで、他の従業員のドキュメントを上書き、置き換え、または破損させることができます。これにより、人事記録の不正な変更が可能になります。
HorillaのCVE-2026-40866は、人事管理システム（HRMS）として広く利用されているオープンソースソフトウェアにおける重大なセキュリティリスクです。従業員ドキュメントのアップロードエンドポイントにおける不適切な直接オブジェクト参照（IDOR）により、認証済みのユーザーは、アップロードリクエスト内のドキュメントIDを操作することで、他の従業員のドキュメントを不正に上書き、置換、または破損させることが可能になります。これにより、人事記録の不正な改ざん、機密情報の漏洩、法的責任の発生といった深刻な問題を引き起こす可能性があります。修正プログラムがすぐに利用できないため、迅速な対応と積極的な軽減策が不可欠です。
Horillaシステム内の認証済みの攻撃者がこの脆弱性を悪用できます。攻撃者は、他の従業員のドキュメントIDを知っているか推測する必要があります。そのIDを使用してドキュメントのアップロードリクエストを改ざんすることで、攻撃者は元のドキュメントを悪意のあるものに置き換えたり、既存のドキュメントを単純に削除したりできます。認証のみが前提条件であるため、Horilla内の任意の有効なユーザーアカウントがこの脆弱性を悪用する可能性があります。脆弱性の悪用が容易であるため、特に懸念される問題です。
Organizations utilizing Horilla HRMS version 1.5.0 are at immediate risk. Specifically, deployments with weak access controls or shared user accounts are particularly vulnerable. Companies relying on Horilla HRMS for critical HR functions, such as payroll or benefits administration, face a heightened risk of data compromise.
• php: Examine web server access logs for requests containing suspicious file extensions (e.g., .php, .exe) in the document upload endpoint. Look for patterns of rapid file uploads or uploads from unusual IP addresses.
grep -i 'upload.php|document.php' /var/log/apache2/access.log | grep -i '.exe|.php'• generic web: Use curl to test the upload endpoint with various file types and extensions to identify potential vulnerabilities.
curl -F '[email protected]' http://your-horilla-instance/upload.phpdisclosure
エクスプロイト状況
EPSS
0.04% (13% パーセンタイル)
CISA SSVC
CVE-2026-40866に対する公式な修正プログラムが提供されていないため、一時的な軽減策を講じることが強く推奨されます。ドキュメントのアップロード機能へのアクセスを、特定の役割を持つ承認された担当者に限定することが重要です。サーバーサイドでの厳格な検証を実施し、要求されたドキュメントIDがリクエストを行う従業員に対応していることを確認することが不可欠です。システムログを定期的に監視し、無効なIDを持つドキュメントのアップロード試行などの不審な活動を検知することで、潜在的な攻撃を早期に発見し対応できます。また、可能な場合は以前の安全なバージョンにダウングレードするか、セキュリティが強化された別のHRMSへの移行も検討すべきです。
Actualice a una versión corregida de Horilla HRMS. La vulnerabilidad se solucionará en una versión futura. Verifique el repositorio de GitHub para obtener más detalles y actualizaciones sobre la corrección.
脆弱性分析と重要アラートをメールでお届けします。
IDORは「不適切な直接オブジェクト参照」の略です。これは、アプリケーションが内部識別子（データベースIDなど）を使用してオブジェクトに直接アクセスする際に、適切な検証を行わずに発生するWebセキュリティの脆弱性の種類です。
Horillaのバージョン1.5.0を使用している場合は、この脆弱性に影響を受けます。ソフトウェアのバージョンを確認してください。
ドキュメントのアップロード機能へのアクセスを制限し、ドキュメントIDを検証し、システムログを監視してください。
従業員のドキュメントをすぐに確認し、不正な変更がないか確認してください。クリーンなバックアップから復元することを検討してください。
NVD（National Vulnerability Database）などの脆弱性データベースで、CVE-2026-40866に関する詳細情報を入手できます。