Grafanaの脆弱性10件(9〜10月)、系列ごとの修正版と認証の確認点

Grafanaは、サーバーやネットワークの監視の数字を、グラフの画面にするソフトです。社内の監視の仕組みの一部として入っていることがあります。Grafana Labsは2026年9月2日から10月5日に、10件のセキュリティ アドバイザリを公表しました。

ドイツのBSI(CERT-Bund)は、9月2日の2件を扱う注意情報WID-SEC-2026-3190(深刻度「mittel」=中)に、10月11日(UTC)にSUSEの情報を加えました。自社でGrafanaを動かす会社は、版と認証の方式を確認します。

公式の資料で確かめられたこと

Grafana本体の8件

「内容」は、各ページのSummaryを編集部が要約したものです。深刻度とCVSSは、Grafana Labsのページのとおりです。

15815の説明文は、プラグインのアーカイブが署名の検証より前に展開されるため、正規に見えるプラグインを入れた場合も当たりうると書いています。

12704は、BSIが扱う2件のうちの1件です。公式ページの冒頭に、製品欄、条件、修正版が並びます。

Grafana本体でない2件

製品名の欄がGrafanaでないものです。

系列ごとの修正版

各ページの「Fixed Versions」を、系列ごとに並べました。ページには「<12.3.0」のような行もありますが、公式は意味を説明していないため、ここでは使いません。

編集部の読み取りでは、この期間のGrafana本体の8件とPostgreSQL Datasourceの1件をすべて含むのは、12.4.12・13.0.10・13.1.7・13.2.3以上です。公式がこの4つの版をそう書いているわけではありません。ダウンロードのページは、Enterprise 13.2.3(2026年9月29日公開)を既定の版として表示します。BSIが9月3日の2件の対象とするのは、12.4.11未満・13.0.8未満・13.1.5未満・13.2.1未満です。

公式の表で、サポートの終了は12.4.xが2027年5月24日、13.0.xが2027年1月9日、13.1.xが2027年3月20日、13.2.xが2027年5月18日です。12.3.x以前は「Not Supported」です。

BSIとLinux各社の情報

BSIは10月11日(UTC)に、Grafanaのほかの注意情報6件にも、同じSUSEの更新(SUSE-SU-2026:4600-1)を加えています。どれも深刻度は「mittel」で、初版は7月〜9月です。

8月以前の件は、この記事の表には入れていません。10月11日の更新で新しく加わったのは、SUSEのパッケージの情報です。

両社の版12.4.10は、Grafana Labsのページが12704・15815・76154の修正版とする12.4.11より低い版です。ただし両ページは、これらのCVEに触れていません。OSの配布元で入れた場合は、配布元の最新の更新を確認します。BSIの一覧にあるopenSUSEの案内は、開いていません。

影響する会社・しない会社

• 影響する: 自社(や委託先)のサーバーでGrafanaを動かし、版が上記の系列ごとの修正版より低い会社。件ごとの条件は、上の表で確かめます
• 影響する(条件つき): Enterpriseで、SAMLのIdP-initiated loginを有効にしている会社(12704)。自分で運用するGrafanaで、Auth Proxyとキャッシュを使っている会社(14199)
• 影響する(確認が要る): プラグインを自分で追加している会社(15815)。共有ダッシュボードを一時停止で運用している会社(81841)。Editor権限の利用者が多い会社(76154・13720)
• 影響する(確認が要る): 12.3.x以前など、サポートが終わった系列を使う会社
• 影響しない: Grafanaを使わない会社。表の修正版以上にそろえた会社は、この期間の分の修正を含みます
• 要確認: Grafana Cloudを使う会社。ページに記載がないため、Grafana Labsに確かめます

編集部の補足として、Grafanaの画面がインターネットから直接見える状態になっていないかも確かめます。SAMLを使う別の製品の件は、NetScalerのSAMLの記事でも扱っています。

情シスが今日やること

1. Grafanaを動かす場所を洗い出す(委託先の監視基盤も含める)。Cloudか自分で運用かを分けます
2. 版を確かめる。公式のCLIの説明では、grafana cli -v で、Grafana server CLIの版が出ます。管理画面でも確かめられます(編集部の補足)
3. OSSかEnterpriseか、認証の方式(SAML・Auth Proxy・OAuthなど)を確認する。12704と14199の条件に当たるかを、設定ファイルで見ます(編集部の補足)
4. 12.4.12・13.0.10・13.1.7・13.2.3以上に更新する。更新までは、プラグインを新しく入れない、SAMLのIdP-initiated loginを見直す、などを決めます(編集部の補足)
5. 更新を後回しにする場合は、期限と理由を記録する。公式の予定表では、10月20日に13.3が出る予定です

書かれていないこと

次の点は、確かめた資料に書かれていません。

• 悪用された事例や、攻撃を観測したという報告
• 各件の回避策(10件のページに、修正版以外の記載がありません)
• Grafana Cloudへの影響(14199の「自分で運用するGrafanaだけ」という記述を除く)
• Grafana LabsのブログのセキュリティリリースのうちこのCVEを扱うもの(探しましたが、確かめられませんでした)
• Red Hat・SUSEのパッケージに、Enterpriseだけの件が当たるかどうか

2026年10月12日 追記: BSIが10月11日(UTC)に同じSUSEの更新を加えた、Grafanaのほかの注意情報6件(7月〜9月が初版)の一覧を足しました。