「phpMyFAQ」の脆弱性 CVE-2026-111911: 認証の不備

どんな危険があるか

phpMyFAQのバージョン4.0.0から4.1.9未満には、認証バイパスの脆弱性が存在します。攻撃者はWebAuthn登録エンドポイントの不備を悪用し、認証やチャレンジ検証なしに任意のユーザーアカウントにWebAuthnクレデンシャルを登録できます。この脆弱性を利用することで、パスワードやTOTP（時間ベースワンタイムパスワード）を迂回して、標的のアカウントを乗っ取ることが可能になります。これにより、機密情報の漏洩やデータの改ざん、システムの不正操作など、広範な被害が発生する恐れがあります。

今すぐやること

phpMyFAQをバージョン4.0.0から4.1.9未満で運用している場合は、バージョン4.1.9以降へただちにアップグレードしてください。このバージョンには脆弱性を修正するパッチが含まれています。アップデートが困難な場合、緊急の回避策としてWebAuthn機能を一時的に無効にすることも検討してください。アップグレード後も、システムログを定期的に確認し、不審な認証試行やアカウント活動がないかを監視することが重要です。