a-blog cmsのフォームに脆弱性。添付設定と系列別の修正版を確認

まず初めに

フォームが正常に届くか。それだけを確認して、何年も同じ設定で使うのは危うい。便利な添付機能が、別のファイルへの入口になり得るという話だ。まずは自分のサイトが条件に当てはまるか、落ち着いて確認したい。※個人の感想です

影響がある設定はどれか

JVNは9月11日、CVE-2026-87727を公表しました。パストラバーサルぱすとらばーさるは、指定された範囲の外にあるファイルへアクセスされる種類の問題です。今回の条件はフォームの「管理者宛メール」のファイル添付が有効であることです。

開発元のアップルップルは、設定ファイルなどの読取り、コピー、削除が起きる可能性を説明しています。サイト利用者全員の情報が実際に漏れたという発表ではありません。

修正版の案内と表記の違い

系列	開発元が示す修正済みバージョン
3.2.x	3.2.33以降
3.1.x	3.1.76以降
3.0.x	3.0.63以降
2.11.x以下	通常の修正版提供なし。3.0.x以上への移行を検討

9月13日の確認時点で、JVN英語版は影響範囲を「3.2.33以前」とし、開発元は「3.2.33未満」を対象、「3.2.33以降」を修正版としています。境界の表記に差があるため、3.2.33を利用中の場合もJVNの一文だけで判断せず、開発元の最新版・修正情報を確認してください。

更新までの応急処置

開発元は、フォーム編集画面の「管理者宛メール」でファイル添付を無効にする回避策を案内しています。この設定はフォームごとに保持されるため、複数フォームがあれば、該当するすべてについて確認が必要です。

編集部の作業整理として、管理するサイト、フォーム名、添付の設定、バージョン、対応日時を一覧にすると取りこぼしを減らせます。無効化後は業務上必要な添付受付への影響を担当者と確認し、修正版への更新を進めてください。

すでに悪用されたおそれがある場合、開発元はログの確認や、データベース接続情報・APIキーなどの再発行の検討も案内しています。設定を直したことだけで、過去の情報取得まで否定することはできません。

IT Postの見方

IT Postでは、バージョン表だけでなく、フォームごとの設定を調べることが今回の要点だと考える。サイトが一つでもフォームは複数ある。対応済みのチェックは、実際に確認した単位で付けたい。