チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「RabbitMQを使ってるけど、認証なしで秘密鍵が盗まれるって本当？」
「OAuth連携しているメッセージブローカーが乗っ取られたら、どこまで影響が出るの？」
チップスボス、RabbitMQに深刻な脆弱性が見つかったって聞きましたでしゅ…。うちのシステムも使ってるんでしゅけど大丈夫でしゅか？
ボス状況によっては大丈夫じゃない。CVE-2026-5721、CVSS 8.7だ。管理エンドポイントにアクセスできれば、認証なしでOAuthシークレットを丸ごと持っていける設計ミスが見つかった。
RabbitMQは日本企業でも非同期メッセージング基盤として広く採用されています。
今回の脆弱性（CVE-2026-5721）は、OAuthによる認証を設定している環境で、攻撃者がブローカー全体の管理者権限を取得できるというものです。
この記事では、脆弱性の仕組みと影響範囲、日本企業が取るべき具体的な対応を解説します。
オススメ案件
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
SecurityWeekが2026年7月13日に報じた本脆弱性は、RabbitMQのバージョン3.13.0（2024年初頭リリース）で導入された管理エンドポイントに存在します。
今回の脆弱性の概要は以下の通りです。
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-5721 |
| CVSSスコア | 8.7（高危険度） |
| 影響するバージョン | RabbitMQ 3.13.0〜4.3.0未満（管理プラグイン有効・OAuth 2/OIDC設定時） |
| 修正版 | 4.3.0、4.2.6、4.1.11、4.0.20、3.13.15 |
| 悪用報告 | 現時点では確認なし |
同時に、CVE-2026-57221（CVSS 5.3）も修正されています。
こちらはマルチテナント環境でキューや交換機の情報を不正に列挙できる問題です。
チップスOAuth 2/OIDC設定時だけの問題でしゅか？
うちはパスワード認証だけなんでしゅけど、大丈夫でしゅか？
ボスパスワード認証のみの環境は今回の脆弱性の対象外だ。ただし、Auth0、Azure AD/Entra ID、Keycloak、UAAなどのIDプロバイダーと連携している環境は全て対象になる。企業のSSO統合で使っていることが多いから、確認しておく必要がある。
RabbitMQの管理UIは通常ポート15672（HTTP）または15671（HTTPS）で動作します。
今回の問題はこの管理ポートにアクセスできれば、認証なしでOAuthシークレットを取得できる点にあります。
攻撃が成立する主な条件は以下の通りです。
社内クラウド環境やKubernetes上でRabbitMQを運用している場合、管理UIが内部ネットワーク経由で攻撃者に到達できる状態になっていることがあります。
「インターネットに直接露出していないから大丈夫」という認識は危険です。
OAuthシークレットを手に入れた攻撃者が何をできるか、具体的に見ていきましょう。
OAuthシークレットはIDプロバイダーに対して「ブローカーが正規のクライアントである」ことを証明するためのパスワードです。
これを取得した攻撃者は以下の操作が可能になります。
業務システム間のメッセージキューが完全に掌握されると、注文処理・決済・ログデータなどのビジネスクリティカルな情報が攻撃者の手に渡ります。
情報漏洩だけでなく、業務フローの改ざんにつながるリスクがある点が深刻です。
チップスメッセージが改ざんされても気づかないでしゅよね…注文データとか決済とかが書き換えられたら大変でしゅ。
ボスだからこそ、管理UIをネットワーク的に隔離することが基本なんだ。パッチを当てるのは当然として、そもそも攻撃者が管理ポートに到達できない構成にする。これが根本的な対策だ。
SecurityWeekが推奨する対応は以下の通りです。
現時点で実際の悪用報告はありませんが、管理エンドポイントの設計ミスは攻撃者が詳細を把握すれば即座に悪用できる性質のものです。
パッチ適用を後回しにするリスクは高めです。
RabbitMQのCVE-2026-5721は、OAuth連携環境で管理ポートにアクセスできれば誰でもシークレットを取得できるという設計ミスです。
ブローカーの完全制御につながる経路があり、業務データへの影響は軽視できません。
修正版へのアップデートと管理UIのネットワーク隔離を、今週中に完了させてください。
OAuthシークレットのローテーションも忘れずに実施しましょう。
チップスわかりましたでしゅ！さっそくRabbitMQのバージョンを確認しまでしゅ！
ボスふふふ、動きが早いな。管理UIのポートが外に開いていないかも一緒に確認するといい。パッチを当てても、ネットワーク設計が甘ければ次の穴が狙われる。
オススメ案件
【Google Sec Opsを活用した大手企業向けセキュリティ運用・分析】大手町／最新セキュリティソリューション・リモート併用
【ISO27001準拠のセキュリティ施策推進・アドバイザリ】海浜幕張／週2リモート併用・PMO
【SOC・CSIRTでのインシデント分析・対応】飯田橋／リモート併用
【既存インターネット閲覧環境のリプレース・SaaS移行に伴う技術支援】門前仲町（リモート併用）／セキュリティ製品の選定から携わる上流インフラ案件
【大手金融機関でのセキュリティ運用体制強化・SOC再検討支援】晴海／セキュリティ運用設計・コンサルティング
【セキュリティ製品を駆使したSOC Tier2運用・インシデント分析】勝どき／CDN・WAF・EDRアラート分析・改善支援
【製造業向けセキュリティ評価支援（IT/OT横断）】フルリモート／NIST CSF・セキュリティガバナンス
【客先グループ内セキュリティ管理チーム支援（M365運用）】大崎（リモート併用）／インシデント対応・M365
【行政向けセキュリティ機能導入（Microsoft Defender）】渋谷（常駐）／テスト・運用設計・手順書作成
【顧客内セキュリティ対応に向けたインフラ設計・構築】京橋／Azure・OCI・ハイブリッドクラウド
