baserCMSに9件の脆弱性発覚！国産CMSユーザーが今すぐ取るべき対策

「国産CMSだから海外の攻撃者には狙われにくいと思っていたけど、本当に大丈夫？」
「baserCMSの脆弱性って、SQLインジェクションやOSコマンドインジェクションまであるの…？」

チップス

ボス！baserCMSに9件も脆弱性が見つかったって聞いたんでしゅけど、SQLインジェクションにOSコマンドインジェクションって、全部入りじゃないでしゅか！？

ボス

ああ、まさに「全部入り」だな。XSS、SQLインジェクション、OSコマンドインジェクション、パストラバーサル、RCEまで揃っている。国産CMSだからといって安心していると痛い目に遭うぞ。

baserCMSは日本の企業サイトやコーポレートサイトで広く利用されている国産CMSです。
この記事では、2026年3月に公表された9件の脆弱性の内容と、管理者が今すぐ確認すべきポイントを解説します。

自社サイトでbaserCMSを利用している方は、バージョンの確認と対応を急いでください。

baserCMS 9件の脆弱性の概要

2026年3月26日、baserCMSユーザー会はJVN#20837860として9件の脆弱性情報を公開しました。
JPCERT/CCも4月1日の週間レポートでこの問題を取り上げ、注意を呼びかけています。

発見された脆弱性の一覧

影響を受けるのはbaserCMS 5.2.2およびそれ以前のバージョンです。
脆弱性の内容は以下の通りです。

OSコマンドインジェクションが3件、XSSが2件と、深刻度の高い脆弱性が複数含まれています。

脆弱性の危険性と企業が確認すべきポイント

今回の脆弱性が特に危険な理由は、攻撃手法の多様さと、管理画面を経由した攻撃が成立する点です。

管理画面経由の攻撃リスク

SQLインジェクション（CVE-2026-27697）では、ブログ記事一覧ページを通じてデータベース上の情報を不正に取得される恐れがあります。
OSコマンドインジェクション（CVE-2026-30877等）では、サーバー上で任意のコマンドを実行され、システム全体を乗っ取られる危険性も。

管理者が把握すべきリスクのポイントは以下の通りです。

「管理画面は社内からしかアクセスしないから大丈夫」という油断は禁物です。
XSSを組み合わせることで、正規ユーザーのブラウザを経由して攻撃が実行される場合もあります。

チップス

うちの会社のサイトもbaserCMSだった気がするでしゅ……。バージョン確認しないと……

ボス

すぐに管理画面のダッシュボードでバージョンを確認しろ。5.2.2以前なら、最新版へのアップデートを今日中に計画するんだ。

まとめ

baserCMS 5.2.2以前に存在する9件の脆弱性は、OSコマンドインジェクションやSQLインジェクションなど深刻なものを多数含んでいます。
最新バージョンへのアップデートが唯一の根本対策です。

対応手順として以下を推奨します。

詳細はbaserCMS公式セキュリティ情報およびJVN#20837860で確認できます。

ボス

国産だからとか、マイナーだからとか、そういう理由で油断するな。攻撃者はCVEデータベースを毎日チェックしている。お前たちより真面目にな。

チップス

は、はいっ……。今すぐバージョン確認してくるでしゅ！

セキュリティ人材として脆弱性診断やCMS運用の経験を活かしたい方へ。
フリーランス案件をご紹介しています。