GMOプライム・ストラテジー（東京・渋谷）が提供するWordPress向けの実行環境「KUSANAGI」に、HTTPヘッダーインジェクションの脆弱性（CVE-2026-117477）が見つかった。攻撃者が細工したURLを閲覧者に開かせると、サーバーが返す応答に任意のHTTPヘッダーを差し込まれるおそれがある。脆弱性情報サイトのJVNが11月9日に公表し、12日に影響を受ける版の記載を更新した。開発元はKUSANAGI 9の修正版を提供し、サポートを終えたKUSANAGI 7と8には緩和策を公開している。
「WordPress専用OS」のNginx設定に欠陥
KUSANAGIは、GMOプライム・ストラテジーが「超高速CMS実行環境」と位置づける製品だ。同社はサイトで「WordPress専用OS」とも紹介しており、WordPressで作ったウェブサイトとサーバーをまとめて保守・運用するサービスの土台に使っている。同社のトップページは、KUSANAGIを導入した課題解決の事例として約200サイトを公開中だと記している。
脆弱性があったのは、KUSANAGIに含まれるWordPress向けのNginxの設定ファイルだ。Nginxはウェブサーバーのソフトで、設定ファイルには、あるURLへの要求を別のURLへ転送する「リダイレクト」の規則が書かれている。JVNによると、この規則に、HTTPヘッダーの中の改行文字（CRLF）を適切に無害化しない欠陥があった。脆弱性の分類（CWE）では「CWE-113」に当たる。
CVEの番号を登録したのはJPCERTコーディネーションセンター（JPCERT/CC）で、CVEの記録によると番号の予約は10月27日、公開は日本時間の11月10日午前8時22分だった。
細工したURLで応答に任意のヘッダー
HTTPヘッダーは、ウェブサーバーがページ本体と一緒にブラウザーへ送る付帯情報で、転送先のURLを示す「Location」や、ブラウザーに保存させる情報を指定する「Set-Cookie」などがある。ヘッダーは1行ずつ改行で区切る決まりのため、外から渡された文字列に改行が含まれたままヘッダーに入ると、そこから先に攻撃者が書いた別のヘッダーや本文が続いてしまう。
情報処理推進機構（IPA）の「安全なウェブサイトの作り方」は、この種の脆弱性で起こりうる被害として3つを挙げている。1つ目は、偽の情報を表示させたり不正なスクリプトを埋め込んだりする、クロスサイト・スクリプティングと同じ被害。2つ目は、Set-Cookieヘッダーを差し込まれて任意のCookieを閲覧者のブラウザーに保存させられること。3つ目は、応答を分割して偽のページを中継サーバーに記憶（キャッシュ）させる「キャッシュ汚染」で、IPAはこの場合、そのサイトを訪れる利用者が差し替えられた偽のページを見続けることになると説明している。
今回の欠陥について、JVNとCVEの記録が示している影響は「細工されたURLにアクセスすると、HTTPレスポンスに任意のヘッダーが挿入される可能性」で、ヘッダーの差し込みにとどまる。深刻度は、共通の評価手法CVSSの第3版で10点満点の6.1、第4版で5.1と、CVEの記録ではいずれも「中」（MEDIUM）とされた。評価の内訳では、ネットワーク越しに認証なしで攻撃できる一方、閲覧者に細工したURLを開かせる操作が必要とされている。
JVNの記載に、この脆弱性が実際の攻撃に使われたという情報は無い。
対象はKUSANAGI 7から9まで Apacheは対象外
影響を受ける版は、JVNの12日の更新後の記載で次の通り。
| 製品 | 影響を受ける版 | 開発元の対応 |
|---|---|---|
| KUSANAGI 7 | すべての版 | 緩和策を公開（サポート終了） |
| KUSANAGI 8（Free／Business／Premium Edition） | すべての版 | 緩和策を公開（サポート終了） |
| KUSANAGI 9（Security／Enterprise Edition） | 10.7.2-1以前 | 修正版を提供 |
| KUSANAGI 9（Free／Business／Premium Edition） | 9.12.2-1以前 | 修正版を提供 |
出典: JVN「JVNVU#92635551」、GMOプライム・ストラテジー「当社製品『KUSANAGI』における脆弱性への対応について」
欠陥はNginx向けの設定にあるため、JVNはウェブサーバーにApache httpdを使っている場合は対象外だとしている。KUSANAGIの利用者は、自分のサーバーの版と、使っているウェブサーバーがNginxかApacheかを確かめる必要がある。
JVNは対策として、開発元の情報をもとに最新版へ更新するよう求め、更新できない場合は開発元の情報をもとに緩和策を実施するよう求めている。具体的な修正版の番号と緩和策の手順は、開発元の製品サイト「KUSANAGI」の告知ページ（Securityアドバイザリ）に載っているが、本紙は同ページを閲覧できず、内容を確認できていない。
開発元が自ら届け出、7と8は緩和策で対応
開発元のGMOプライム・ストラテジーは11月9日、自社サイトで脆弱性への対応を公表した。KUSANAGI 9については修正版を提供し、サポートを終えているKUSANAGI 7と8については緩和策を公開したと説明している。影響範囲、対策の方法と問い合わせ先は、製品サイトのSecurityアドバイザリで確認するよう求めている。
JVNによると、今回の脆弱性情報は製品利用者に知らせることを目的に、GMOプライム・ストラテジー自身がJPCERT/CCに報告し、JPCERT/CCが同社と調整して公表した。開発元が自社製品の欠陥を届け出て、修正版や緩和策を用意したうえで公表した形だ。
GMOプライム・ストラテジーは2002年12月の設立で、東京証券取引所スタンダード市場に上場している。会社概要によると、KUSANAGIのほか、ウェブの表示を速くする「WEXAL」の開発と提供を手がけ、主要取引先には大学などが並ぶ。
国産でサーバーに組み込んで使うソフトの欠陥は、10月にも国産WAF「SiteGuard」に悪用確認の欠陥 サーバーを最高権限で操られるおそれで表面化した。KUSANAGIの今回の欠陥は、設定ファイルの規則という目に付きにくい場所にあった。ウェブサイトの運営者は、ソフト本体だけでなく、実行環境に同梱された設定の更新情報も確かめる必要がある。