チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「RabbitMQを使ってるけど、認証なしで秘密鍵が盗まれるって本当？」
「OAuth連携しているメッセージブローカーが乗っ取られたら、どこまで影響が出るの？」
チップスボス、RabbitMQに深刻な脆弱性が見つかったって聞きましたでしゅ…。うちのシステムも使ってるんでしゅけど大丈夫でしゅか？
ボス状況によっては大丈夫じゃない。CVE-2026-5721、CVSS 8.7だ。管理エンドポイントにアクセスできれば、認証なしでOAuthシークレットを丸ごと持っていける設計ミスが見つかった。
RabbitMQは日本企業でも非同期メッセージング基盤として広く採用されています。
今回の脆弱性（CVE-2026-5721）は、OAuthによる認証を設定している環境で、攻撃者がブローカー全体の管理者権限を取得できるというものです。
この記事では、脆弱性の仕組みと影響範囲、日本企業が取るべき具体的な対応を解説します。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
SecurityWeekが2026年7月13日に報じた本脆弱性は、RabbitMQのバージョン3.13.0（2024年初頭リリース）で導入された管理エンドポイントに存在します。
今回の脆弱性の概要は以下の通りです。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-5721 |
| CVSSスコア | 8.7（高危険度） |
| 影響するバージョン | RabbitMQ 3.13.0〜4.3.0未満（管理プラグイン有効・OAuth 2/OIDC設定時） |
| 修正版 | 4.3.0、4.2.6、4.1.11、4.0.20、3.13.15 |
| 悪用報告 | 現時点では確認なし |
同時に、CVE-2026-57221（CVSS 5.3）も修正されています。
こちらはマルチテナント環境でキューや交換機の情報を不正に列挙できる問題です。
チップスOAuth 2/OIDC設定時だけの問題でしゅか？
うちはパスワード認証だけなんでしゅけど、大丈夫でしゅか？
ボスパスワード認証のみの環境は今回の脆弱性の対象外だ。ただし、Auth0、Azure AD/Entra ID、Keycloak、UAAなどのIDプロバイダーと連携している環境は全て対象になる。企業のSSO統合で使っていることが多いから、確認しておく必要がある。
RabbitMQの管理UIは通常ポート15672（HTTP）または15671（HTTPS）で動作します。
今回の問題はこの管理ポートにアクセスできれば、認証なしでOAuthシークレットを取得できる点にあります。
攻撃が成立する主な条件は以下の通りです。
社内クラウド環境やKubernetes上でRabbitMQを運用している場合、管理UIが内部ネットワーク経由で攻撃者に到達できる状態になっていることがあります。
「インターネットに直接露出していないから大丈夫」という認識は危険です。
OAuthシークレットを手に入れた攻撃者が何をできるか、具体的に見ていきましょう。
OAuthシークレットはIDプロバイダーに対して「ブローカーが正規のクライアントである」ことを証明するためのパスワードです。
これを取得した攻撃者は以下の操作が可能になります。
業務システム間のメッセージキューが完全に掌握されると、注文処理・決済・ログデータなどのビジネスクリティカルな情報が攻撃者の手に渡ります。
情報漏洩だけでなく、業務フローの改ざんにつながるリスクがある点が深刻です。
チップスメッセージが改ざんされても気づかないでしゅよね…注文データとか決済とかが書き換えられたら大変でしゅ。
ボスだからこそ、管理UIをネットワーク的に隔離することが基本なんだ。パッチを当てるのは当然として、そもそも攻撃者が管理ポートに到達できない構成にする。これが根本的な対策だ。
SecurityWeekが推奨する対応は以下の通りです。
現時点で実際の悪用報告はありませんが、管理エンドポイントの設計ミスは攻撃者が詳細を把握すれば即座に悪用できる性質のものです。
パッチ適用を後回しにするリスクは高めです。
RabbitMQのCVE-2026-5721は、OAuth連携環境で管理ポートにアクセスできれば誰でもシークレットを取得できるという設計ミスです。
ブローカーの完全制御につながる経路があり、業務データへの影響は軽視できません。
修正版へのアップデートと管理UIのネットワーク隔離を、今週中に完了させてください。
OAuthシークレットのローテーションも忘れずに実施しましょう。
チップスわかりましたでしゅ！さっそくRabbitMQのバージョンを確認しまでしゅ！
ボスふふふ、動きが早いな。管理UIのポートが外に開いていないかも一緒に確認するといい。パッチを当てても、ネットワーク設計が甘ければ次の穴が狙われる。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
