Trusted Design

CVE-2026-45247 の詳細

CVEの情報

説明:
Mirasvit Full Page Cache Warmer for Magento 2 before version 1.11.12 contains a PHP object injection vulnerability that allows unauthenticated attackers to achieve remote code execution by supplying a crafted serialized PHP object in the CacheWarmer cookie. Attackers can exploit the unrestricted call to PHP's native unserialize() function combined with gadget chains available in Magento and its dependencies to execute arbitrary code on the server.

CVE更新日: 2026-05-26 15:16:39.263000

CVSSバージョン: 4.0

CVSSスコア: 9.3

KEVの情報

KEV更新日: 2026-06-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.275460000

EPSS更新日: 2026-07-18 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: True

AIを使った解説

解説:

1. 脆弱性の概要

CVE-2026-45247 は Mirasvit Full Page Cache Warmer for Magento 2 に存在するPHP オブジェクトインジェクション（CWE-502） による 認証不要のリモートコード実行（RCE） 脆弱性。

攻撃者は CacheWarmer Cookie に細工したシリアライズ済み PHP オブジェクトを注入 することで、拡張機能内部の unserialize() の無制限呼び出し を悪用し、Magento や依存ライブラリの gadget chain を利用して任意コード実行が可能となる。

1.1 影響

  • 認証不要で RCE（Remote Code Execution）
  • 機密性・完全性・可用性すべてが侵害される（C:H/I:H/A:H）
  • Web サーバー全体の乗っ取りが可能

1.2 深刻度

  • CVSS v3.1：9.8（Critical）
  • CVSS v4.0：9.3（Critical）
  • CISA Known Exploited Vulnerabilities（KEV）登録済み（＝悪用確認）

2. 対象となる環境

2.1 影響を受ける製品・バージョン

  • Mirasvit Full Page Cache Warmer for Magento 2
  • 1.11.12 未満のすべてのバージョンが影響

2.2 影響を受ける設定

  • CacheWarmer Cookie が利用可能な状態
  • PHP の unserialize() が実行される環境
  • Magento 2 とその依存ライブラリに gadget chain が存在する構成

3. 影響を受けた時の兆候（IoC）

公開情報に 明確な兆候の記述はなし。
ただし、脆弱性の性質から以下の事象が発生し得る（事実ベースの挙動）：

  • CacheWarmer Cookie に 不正なシリアライズデータ が含まれる
  • Web サーバー上で 不審な PHP プロセス実行
  • Magento アプリケーションの挙動異常（不正ファイル生成・改ざんなど）

4. 推奨対策

4.1 本対策（恒久対策）

  • Mirasvit Full Page Cache Warmer を 1.11.12 以降へアップデート
    → ベンダーが提供する修正版で脆弱性が解消

4.2 暫定回避策（緩和策）

ベンダーによる公式ワークアラウンドは未提供
ただし、OpenCVE が推奨する緩和策として以下が提示されている：

  • Mirasvit Cache Warmer モジュールを無効化または削除
  • WAF で CacheWarmer Cookie 内のシリアライズデータを検知・遮断

5. その他補足すべき観点

5.1 悪用状況

  • CISA KEV に登録済み
    実際に攻撃で悪用されていることが確認されている

5.2 脆弱性の根本原因

  • PHP の unserialize() をユーザー入力に対して無制限に使用
  • Magento / 依存ライブラリ内の gadget chain の存在

NVDサイト

NVDでCVEの詳細を見る

戻る