BaserCMSにCSVファイルインジェクションの脆弱性（JVNVU#94952030）、悪意あるCSVを開くとコード実行の恐れ

「うちのサイトはBaserCMSで動いているんだけど、管理画面でCSVを扱ったら危ないの？」
「CSVインジェクションって聞いたことなかったけど、どんな攻撃なんだろう……」

ボス

一見安全に見えるCSVファイルが、スプレッドシートで開いた瞬間に悪意あるコードを実行する攻撃だな。今回はJVNとJPCERT/CCが公表しており、BaserCMSを使う日本の組織は特に注目すべき情報だ。

チップス

CSVを開くだけでコードが動くんでしゅか！？それは気をつけないといけないでしゅ！

日本製CMSとして多くの国内企業・自治体で利用されているBaserCMSに、CSVファイルインジェクションの脆弱性が発見されました（JVNVU#94952030）。
本記事では、この脆弱性の仕組みと修正バージョン、そして対処法を解説します。

この記事を読めば、CSVインジェクションの仕組みと、BaserCMSを使う組織が取るべき対応が分かります。

事件の概要：JVNが公開した国産CMS BaserCMSの脆弱性

2026年7月31日、JPCERT/CCとIPAはJVN（Japan Vulnerability Notes）にてBaserCMSのCSVファイルインジェクション脆弱性（JVNVU#94952030）を公開しました。
CVE番号はCVE-2026-65875で、CVSSv3.1のベーススコアは7.1（高）です。

チップス

BaserCMSってどんなCMSでしゅか？

ボス

日本のBaserCMSユーザ会が開発する国産のPHPベースCMSだ。Webサイトの構築・管理に使われており、日本の中小企業・自治体・大学などで利用されている。今回の脆弱性はViettel Cyber Securityの研究者が発見し、CVSSv4.0ではスコア5.1が付いている。

影響を受けるバージョンは「BaserCMS 5.3.0より前のバージョン」のすべてです。
修正済みバージョンは5.3.0（2026年7月30日リリース）です。

脆弱性の仕組みとリスク：なぜCSVが「武器」になるのか

CSVファイルインジェクション（CWE-1236）とは、攻撃者がCSVファイル内のセルに =CMD("悪意ある処理") のような数式を埋め込む手法です。
このCSVを被害者がExcelやGoogle スプレッドシートなどで開くと、アプリケーションが数式として解釈・実行してしまう可能性があります。

ボス

BaserCMSのように管理者が会員情報や申し込みデータをCSVでエクスポートする機能があるCMSでは、外部ユーザーがフォームで送信したデータがCSVに含まれる。攻撃者がフォームに数式を仕込んでおくと、管理者がそのCSVをExcelで開いた瞬間に実行される、という流れだな。

チップス

つまり管理者が気づかないうちに攻撃される可能性があるんでしゅか！危険でしゅ……

被害が発生しうる流れは以下の通りです。

ポイントは以下の通りです。

まとめ：日本製CMSの脆弱性——迅速なバージョン確認と更新を

BaserCMSはJVNを通じた迅速な開示と修正が行われており、5.3.0へのアップデートで対処できます。
CSVインジェクションは地味に見えますが、管理者権限で実行されるため実害につながりやすい脆弱性です。

ボス

BaserCMSを使っているなら、まずバージョンを確認することだ。5.3.0未満なら即時アップデート。Excelのマクロ設定を制限することもCSVインジェクション全般への対策になるな。

チップス

BaserCMSを使っている方は今すぐバージョン確認でしゅ！更新して安心しましゅ！

CMSの脆弱性対策について不安があれば、セキュリティの専門家に相談することも検討してみましょう。