国産CMS「baserCMS」に複数の脆弱性、ログインなしのSQL注入も（JVN#14353754）
ひとことで言うと：日本の地方自治体・企業サイトでも使われている国産CMS「baserCMS」は、いわば役所の窓口システムのように、申請や公開情報の管理を裏側で支えている仕組みです。この窓口システムに、ログインなしでデータベースを操作できるものを含む複数の脆弱性が見つかりました。バージョン5.4.1（5.3系は5.3.1）で修正されています。
何が起きたか
2026年9月24日、国産のオープンソースCMS「baserCMS」の開発元が、複数の脆弱性について公式サイトとJVN（JPCERT/CCとIPAが共同で運営する、いわば国が設けた脆弱性の掲示板・届け出窓口のような情報サイト、JVN#14353754）で公表しました。公開情報によれば、合わせて10件の問題が修正されており、その中には次のようなものが含まれます。
- ログインなしで可能なSQLインジェクション（2件）：サイトを公開している「ブログ」「カスタムコンテンツ」のページで、特定のパラメータを操作することでデータベースへの命令を書き換えられるおそれがあります。
- ログインなしの情報開示（CVE-2026-93462）：公開ブログのコメントAPIから、未承認のコメントやコメント投稿者のメールアドレスが取得できてしまうおそれがあります。
- クロスサイト・スクリプティング（CVE-2026-93460・93463・93464）：いずれも、管理画面を複数の人が使っている場合に対応が必要とされています。
窓口のたとえで言えば、本来は受付の人を通さなければ（ログインしなければ）触れられないはずの裏の書庫（データベース）に、裏口から直接入り込んで書類を読んだり書き換えたりできてしまう、というイメージです。開発元の公表ページでは、これらの悪用により「第三者がデータベースの内容を読み取ったり書き換えたりする」「訪問者のブラウザで任意のスクリプトを実行する」「非公開情報を取得する」おそれがあるとされています。なお、SQLインジェクションに関する2件にはCVE番号が付与されておらず、GHSA（GitHub Security Advisory）番号のみで管理されています。CVSSによる深刻度評価も、開発元の公表ページには記載がありません。
誰に関係するか
baserCMSのバージョン5.0.0〜5.4.0を使っているサイトが対象です（5.4.1未満）。WordPressやEC-CUBE、Movable Typeなど他のCMSを使っているサイトには当てはまりません。
baserCMSは、日本の地方自治体や中小企業のウェブサイトで比較的よく使われているCMSです。使っているCMSの種類やバージョンは外からは分かりにくいため、心当たりがない場合も、念のため制作・管理会社に確認しておくことをおすすめします。
何をすべきか
1. 管理会社に確認する
「使っているCMSはbaserCMSか」「バージョンはいくつか」を、サイトを作った会社や管理会社に確認してもらいましょう。HEIMVAIL の無料チェックで作れる「保守会社に渡せる依頼文」をそのまま使えます。
2. 対象なら修正版に更新する
対象だった場合は、baserCMS 5.4.1以降（5.3系を使っている場合は5.3.1以降）への更新を依頼してください。
3. 共有サーバーで5.4.0を使っている場合は特に注意
開発元の公表によれば、今回の修正項目の一つに、共有ホスティング環境で他の利用者がいる場合に関係するファイル権限の問題（バージョン5.4.0のみが対象）が含まれています。該当する環境で5.4.0を使っている場合は、優先的な対応が必要です。
よくある質問
自分のサイトは影響を受けますか？
baserCMSのバージョン5.0.0〜5.4.0を使っている場合に影響を受けるおそれがあります。5.4.1（5.3系は5.3.1）以降では修正されています。
WordPressやEC-CUBEを使っていますが、対象ですか？
この脆弱性はbaserCMS特有のものなので、当てはまりません。使っているCMSが分からない場合は、念のため確認しておくと安心です。
何をすればいいですか？
管理会社に使っているCMSと版を確認してもらい、対象であれば5.4.1（または5.3.1）以降への更新を依頼してください。
参考にした公開情報
この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。