つみかさね

CVE-2026-73849

Critical(9.8)

Emlogの未認証再インストール CVE-2026-73849：影響範囲と対応方法

公開日: 2026-09-17データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Emlogemlog (OSS)<= 2.6.26

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1Emlog のバージョンを確認する
  2. 2修正版へアップデートする
  3. 3アップデートが困難な場合は install.php への外部アクセスを制限する

影響対象

Emlog の運用者公開Webサイト管理者

対応不要な人

  • ✓Emlog を使用していない
  • ✓既に修正版へ更新済み

補足

  • -インターネットに公開している場合は最優先で対応してください
CVEEmlogCMS認証欠如

30秒で判断

  • 対応すべき人: Emlog 2.6.26 以前を運用している方、特にインターネットへ公開している方
  • 対応不要な人: Emlog を使用していない、既に修正版へ更新済みの方
  • 確認コマンド: 管理画面またはリリースノートでEmlogのバージョンを確認
  • クイックアクション: 修正版へ更新し、install.php への外部アクセスを制限

概要

Emlog はオープンソースのWebサイト構築システム（CMS）です。2.6.26 以前のバージョンでは、install.php が action=reinstall を 認証なしで受理 し、インストール済みチェックが $act != 'reinstall' のときにしか実行されないため、意図的にスキップされます（CWE-306: 重要機能に対する認証の欠如）。未認証のリモート攻撃者が設定情報を送信することで、config.php の上書きなどにつながる恐れがあります。

CVSSスコアは 9.8（Critical） です。

CVSSベクトル

項目値
CVSSスコア9.8
深刻度Critical
CWECWE-306

影響を受けるソフトウェア

製品ベンダー影響バージョン
Emlogemlog (OSS)<= 2.6.26

修正バージョンと回避策

開発元アドバイザリ（GHSA-v5qq-p8mp-3gxm）に従い、修正版へアップデートしてください。更新が難しい場合は、install.php へのアクセスをネットワーク/Web サーバー側で制限する、インストール完了後に該当ファイルを削除するといった回避策を優先してください。

関連リンク

ソースURL
NVDhttps://nvd.nist.gov/vuln/detail/CVE-2026-73849
GitHub Advisoryhttps://github.com/emlog/emlog/security/advisories/GHSA-v5qq-p8mp-3gxm

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-73849
GitHub Advisory:https://github.com/emlog/emlog/security/advisories/GHSA-v5qq-p8mp-3gxm
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。