JPCERT/CC・IPAは2026年10月13日、オープンソースのECプラットフォーム「Thelia」の複数の脆弱性をJVNで公開しました。対象はThelia 2.6.0と2.6.1で、参照先のCERT/CCは修正パッチが未提供と説明しています。利用企業は、更新だけで解決できる状況ではないため、管理画面へのアクセス制限などの暫定対策を確認する必要があります。
管理者権限での侵害に加え、未認証でもアカウント列挙の恐れ
CERT/CCによると、複数の脆弱性により、管理者権限を持つ攻撃者がサーバーを侵害する恐れがあります。一方、すべてを「管理者でなければ悪用できない問題」と捉えるのは適切ではありません。認証前に有効な管理者アカウントを列挙できる問題や、管理者セッションを乗っ取られる恐れも示されています。
Thelia 2.6.0では、文書更新時の実行形式の検証不足(CVE-2026-103521)や、バナーの検証が送信側のMIME型に依存する問題(CVE-2026-103522)が挙げられています。MIME型は、送信するデータの種類を示す情報です。
管理画面には、保存された内容を通じて不正なスクリプトが実行される「格納型XSS」(CVE-2026-103524)もあります。影響箇所にはカテゴリー作成や商品作成などが含まれます。住所関連テンプレートには、入力内容を応答に反映する際に生じる「反射型XSS」(CVE-2026-103527)があります。CERT/CCは、XSSの悪用で管理者セッションが乗っ取られる恐れを指摘しています。
また、認証の失敗理由によって応答が異なる問題(CVE-2026-103526)により、未認証の攻撃者が有効な管理者アカウントを列挙できます。メールテンプレートのPHP関数の制限不足や、モジュール導入時のPHPコードの検証不足も報告されています。
2.6.1も対象、修正を待つ間は機能とアクセスを制限
Thelia 2.6.1には、翻訳編集で本来の範囲外のファイルへアクセスするパストラバーサルと、PHPコードを注入する問題(CVE-2026-103535)があります。テンプレート検証で絶対パスを拒否しない問題(CVE-2026-103537)もあり、CERT/CCはコード実行の可否が配置や構成に左右されるとしています。2.6.0から2.6.1への変更を、本件全体の解決策とみなすことはできません。
TheliaはテンプレートエンジンにSmartyを使用しています。CERT/CCはTheliaとの調整ができず、修正パッチは未提供と説明しています。暫定対策として、管理画面へのアクセス制限と、ファイルアップロード・テンプレート編集の無効化または厳格な制限を推奨しています。
さらに、可能な限り利用者が書き込めるディレクトリのPHP実行権限を削除するよう案内しています。通信を中継するリバースプロキシでのリクエスト頻度の制限、MIME型によるフィルタリング、許可したURLだけを通す設定も推奨対策です。Theliaの日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: Thelia 2.6.0を利用する会社です。文書・バナーの処理、管理画面、認証関連処理、テンプレートなどに問題が報告されています。
- 影響する: Thelia 2.6.1を利用する会社です。翻訳編集とテンプレート検証の問題を確認する必要があります。絶対パス経由のコード実行は配置や構成に左右されます。
- 影響しない: Theliaを利用していない会社は、本件の対象製品には該当しません。ただし、委託先が運用するECサイトも含めて利用の有無を確認してください。
- 影響しない: Theliaのどの版なら安全かという条件は、発表には書かれていません。対象の2版以外について、安全だと断定することは避けてください。
情シスが今日やること
以下は、CERT/CCの暫定対策を社内で確認するための手順です。発表に対応期限や具体的な管理画面のメニュー名は示されていません。
- 本日、利用製品と版を確認します。 ECサイトの構成資料や導入記録でTheliaの有無と版を確認し、不明なら開発担当・運用委託先に照会します。2.6.0と2.6.1を区別して記録してください。
- 管理画面への到達範囲を確認します。 運用担当に管理画面のアクセス制御設定を確認してもらい、必要な利用者だけに制限できるかを判断します。EC運営責任者には、通常の管理操作への影響と併せて対応案を伝えます。
- アップロードとテンプレート編集の扱いを決めます。 Theliaの設定と運用手順を運用担当と確認し、無効化できる機能、業務上必要で厳格な制限をかける機能を分けます。変更前に商品・コンテンツの更新担当へ知らせます。
- サーバーと中継設定を点検します。 サーバー担当に、利用者が書き込めるディレクトリのPHP実行権限を確認してもらいます。リバースプロキシを使っている場合は、頻度制限、MIMEフィルタリング、URL許可リストの設定も確認します。
- 本日中に未対応項目を共有します。 JVNのJVNVU#99982995とCERT/CCのVU#162329を確認し、利用版、実施した制限、残る課題をEC運営責任者と共有します。修正パッチの有無を継続確認する担当も決めてください。
