CERT/CCは2026年10月13日、オンラインストアの構築・管理用オープンソース基盤「Shopware」の脆弱性情報VU#157374を公開しました。Shopware 6.7のメディアアップロード機能を悪用し、管理者の認証トークンを盗める恐れがあります。利用企業は、ファイルをアップロードできる人と、HTMLファイルを受け付ける設定を優先して確認する必要があります。
管理者がHTMLを開くと、管理APIへの不正アクセスにつながる
脆弱性の識別番号はCVE-2026-104937です。問題は、悪意あるスクリプトを保存し、後から閲覧した人のブラウザーで動かす「蓄積型XSS」です。
CERT/CCによると、対象のAPIはHTMLファイルを受け付け、HTMLとして扱う「text/html」で配信します。スクリプトなどの実行を制限するContent-Security-Policyと、ブラウザーによるファイル形式の推測を制限するX-Content-Type-Optionsについて、有効なヘッダーがありません。
管理者がアップロードされた悪意あるHTMLのURLを開くと、任意のJavaScriptが実行され得ます。攻撃者は管理者として認証するためのトークンを盗み、そのトークンでShopwareの管理APIに不正アクセスできます。APIは、ソフトウェアから機能を呼び出すための窓口です。
攻撃にはメディアの作成・アップロード権限が必要です。認証なしで誰でもファイルを置けるという説明ではありません。一方、ファイルをアップロードする人と、それを開く管理者の権限が異なる点が、確認の焦点になります。
管理者の権限によっては、プラグイン経由でコード実行も
対象の管理者に拡張管理権限がある場合、盗まれたトークンを使って悪意あるプラグインを導入・有効化できます。CERT/CCは、そのプラグインにより、Shopwareプロセスの権限で任意のPHPコードを実行できると説明しています。
つまり、確認対象はアップロード設定だけではありません。HTMLを開く管理者が、拡張機能を管理できる権限を持つかどうかも、想定される影響を分ける条件です。
CERT/CCは、脆弱性対応の調整に向けてShopwareと連絡を取れなかったとしています。修正提供までの対策として、アップロード権限を信頼できるロールに限定することと、HTMLファイルのアップロード無効化を案内しています。ロールは、利用者に割り当てる権限のまとまりです。
修正版の番号や提供時期は、今回の発表には書かれていません。日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: Shopware 6.7を利用する会社です。メディアの作成・アップロード権限を誰に与えているか、管理者がアップロード済みHTMLを開く業務があるかを確認してください。
- 影響する: Shopware 6.7で、拡張管理権限を持つ管理者がいる会社です。その管理者のトークンが盗まれた場合、悪意あるプラグインの導入・有効化まで可能になります。
- 影響しない: Shopwareを利用していない会社は、今回公表されたShopware 6.7の脆弱性の対象ではありません。ただし、Shopwareの他の版について、影響しないと判断できる条件は発表には書かれていません。
情シスが今日やること
以下は、発表内容を基にした確認手順です。具体的な管理画面名や設定項目の位置、対応期限は発表には書かれていません。
- 利用製品と版を確認します。 ECサイトの運用担当者や保守委託先に、Shopwareの利用有無と稼働版の回答を依頼してください。今日の確認では、まず6.7を使うサイトを切り分けます。
- 権限設定を点検します。 Shopwareの権限を管理する画面・設定で、メディアの作成・アップロードを許可するロールと、その割り当て先を確認してください。修正提供まで、信頼できるロールに限定する方針を運用担当者と決めます。
- HTMLの受け付けを確認します。 メディアアップロード機能の設定や実装について、保守担当者にHTMLファイルを無効化できるか確認を依頼してください。対応可否と適用予定を共有してもらい、未対応のままにしないよう管理します。
- 管理者へ具体的に知らせます。 アップロード済みHTMLのURLを開くことが攻撃のきっかけになると伝え、不審なURLは開く前に情シスへ確認する運用を依頼してください。併せて拡張管理権限の割り当てを把握し、修正情報の確認担当を決めます。
