【更新 2026-08-19】本記事を見直し、修正しました。主な修正点：出典に挙げたシンキングリードの告知ページの表題を、実際の表題「F-RevoCRMバージョン7系以降の脆弱性と対応について」に合わせて修正しました。CVE-2026-71368の内容・影響を受けるバージョン（7.3.0〜8.0.3）・修正版が8.0.4のみで7系向けの単独パッチが提供されていない点は、2026年8月19日時点の一次情報でも変更ありません。
2026年8月17日、国産のオープンソースCRM「F-RevoCRM」にクロスサイトスクリプティング（XSS）の脆弱性 CVE-2026-71368 が公表されました（JVN#58692577）。対象は 7.3.0 から 8.0.3 まで、つまりバージョン7系以降のすべてです。
深刻度はCVSS v3.0で6.1（警告）と突出して高いわけではありません。しかし本件の厄介さは点数ではなく、修正版が 8.0.4 だけで、7系向けの単独パッチが提供されていないことにあります。7系を運用している組織にとっては「パッチを当てて終わり」ではなく、基盤ごとのメジャーアップグレード判断を迫られる案件です。
この記事でわかること
- F-RevoCRMとは何で、社内のどこに潜んでいる可能性があるか
- CVE-2026-71368の内容と、実際に何が起きうるのか
- 7系利用時に「アップデートすれば終わり」にならない理由
- 自社が該当するかを確認する具体的な手順
F-RevoCRMとは何か（「うちは使っていない」と即断しないために）
F-RevoCRMとは、シンキングリード株式会社が提供する日本語対応のオープンソース顧客管理システム（CRM）です。顧客管理に加えて、営業支援（SFA）、マーケティング、問合せ管理までを1つでカバーします。
用途としては、営業部門やカスタマーサポート部門が「商談・顧客・問合せ履歴を一元管理したい」という要求で導入するケースが中心です。ライセンス費用がかからず自由にカスタマイズできる点が採用理由になりやすく、公式サイトでは大手企業の導入事例も紹介されています。提供形態はクラウド版（F-RevoCRMCloud）とオンプレミス版（F-RevoCRMEnterprise）に加え、GitHubで公開されているソースを自社サーバに自前で導入する形があります。
そして情シスにとって重要なのが、この製品の出自です。F-RevoCRMは、インド発の著名なオープンソースCRM「vtiger CRM」をベースに日本企業向けへ作り込んだもので、ライセンスもvtiger Public Licenseを継承しています。ソースツリーのルートに vtigerversion.php が残っているのはその名残です。つまり、過去に「vtiger CRMを日本語化して入れた」と聞いている社内システムが、実体としてF-RevoCRMである可能性があります。
加えて、この手のOSS製品は情シスではなく事業部門の主導で導入され、構築はSIerが担当し、納品後は誰も見ていないという経路をたどりがちです。IT資産台帳に「F-RevoCRM」という名前で載っていなくても、「営業支援システム」「顧客DB」といった曖昧な名前で稼働していないか、まず疑ってください。
なお本件のJVNおよびベンダー告知はF-RevoCRMを対象としたものであり、vtiger CRM本体への影響は本稿執筆時点で公表されていません。ベースが同じだからといって他製品まで断定するのは避けるべきです。
何が起きたのか
公表された内容を整理します。
| 項目 | 内容 |
|---|---|
| 脆弱性ID | CVE-2026-71368 / JVN#58692577 / JVNDB-2026-000112 |
| 種別 | クロスサイトスクリプティング（CWE-79） |
| 影響を受けるバージョン | F-RevoCRM 7.3.0 〜 8.0.3（7系以降すべて） |
| 修正版 | F-RevoCRM 8.0.4 |
| CVSS基本値 | v3.0: 6.1（警告） / v4.0: 5.1（警告） |
| 公表日 | 2026年8月17日 |
| 報告者 | 株式会社VLCセキュリティラボ ブイ ミン ダン 氏（情報セキュリティ早期警戒パートナーシップに基づく届出） |
成立条件は「F-RevoCRMにログインした状態のユーザーが、細工されたページにアクセスした場合」です。この条件下で、ユーザーのブラウザ上で任意のスクリプトが実行され、意図しない操作をさせられる可能性があります。
GitHubのリリースノートによれば、修正の実体は画面共通テンプレート Header.tpl のJavaScriptコンテキストにおけるXSS（_META / _EXTENSIONMETA / _USERMETA）の是正です。共通ヘッダという、ログイン後のほぼ全画面が通る場所である点は認識しておくべきでしょう。
認証が必要なのに、なぜ軽視できないのか
「ログイン後にしか成立しないなら優先度は低い」と判断したくなりますが、CRMという置き場所を考えると話が変わります。CRMには顧客の連絡先、商談履歴、見積・契約情報といった持ち出されると事業に直結する情報が集約されています。そして実際の業務では、営業担当がCRMにログインしたまま別タブでメールのリンクを踏む、というのはごく日常的な動作です。攻撃条件は決して非現実的ではありません。
「アップデートすれば終わり」にならない理由
本件で情シスが最初に確認すべきは、CVSSの点数ではなく自社が7系か8系かです。
ベンダーの告知および本稿執筆時点（2026年8月17日）のリリース状況を確認する限り、7系向けの修正リリースは提供されていません。対応版は8.0.4のみで、7系利用者は8系への移行が前提となります。
ここが実務上の負荷です。GitHubのREADMEに記載された8系の動作要件は、PHP 8.3〜8.5、MySQL 8.4（LTS）、Apache 2.4以降、ビルドにNode.js v22以降と、決して軽くありません。古いPHP・MySQLの上で7系を長年動かしてきた環境では、CVSS 6.1の脆弱性1件を潰すために、OS・ミドルウェアを含む基盤更改が必要になるという構図になります。予算も試験工数も、当月中に確保できる規模ではないでしょう。
逃げ道は用意されています。リリースノートでは、当該修正のみを取り込みたい場合はPull Request #1803の取り込みが案内されています。OSSであることの利点で、これは現実的な選択肢です。ただし、F-RevoCRMは「カスタマイズできるから選ばれる」製品です。画面テンプレートを独自に改変している環境では、共通ヘッダへの修正がそのまま当たらない可能性があり、マージと動作検証は自社責任になります。「パッチだけ入れる」も無料ではない、という前提で工数を見積もってください。
また、ベンダーはアップデートまでの回避策として、信頼性の低い外部サイトを閲覧する際はログアウト状態を保つ、別ブラウザを使う、プロキシでアクセスを制限する、といった方法を挙げています。これらは時間を稼ぐための緩和策であり、恒久対策ではない点に注意してください。
自社が該当するかをどう確認するか
資産台帳に載っていない前提で、次の順に確認するのが現実的です。
- まず契約形態を切り分ける。シンキングリードとのサポート契約がある環境については、ベンダーが「すでに対応済み」としています。優先して手当てすべきは、自社または外部ベンダーが構築した自前運用の環境です。
- バージョンを実機で確認する。vtiger系の構成を継承しているため、インストールディレクトリ直下の
vtigerversion.phpに$vtiger_current_version（例: 8.0.4）と$patch_versionが定義されています。管理画面の表示だけでなく、ファイルの実体で確認するのが確実です。 - 公開範囲を確認する。インターネットからアクセスできる状態か、VPN・社内限定か。XSSの成立にはログイン中のユーザーが必要ですが、公開されているほど攻撃の導線は増えます。
- 導入経路をたどる。構築を委託したSIerがいる場合、対応方針（8系移行かPR個別適用か）と費用を早めに問い合わせておくと、後工程が詰まりません。
現場目線の課題
正直なところ、この種の案件が一番やりにくいのは「自分たちが入れたわけではないシステムの面倒を、脆弱性が出た時だけ見させられる」構造にあります。事業部門が業務効率化のために善意で導入したOSSは、導入時点では誰にも迷惑をかけていません。しかし数年後、こうしてCVEが振られた瞬間に、バージョンも改修履歴も分からないまま情シスの机に乗ってきます。
しかも今回のように7系にパッチが出ない場合、情シスから事業部門へ伝えることになるのは「予算と停止時間をください」です。深刻度が6.1という中程度の数字であるほど、この説明は通りにくくなります。点数ではなく「顧客情報がどこに集まっているか」で優先度を語るのが、現場では有効な説得の仕方だと感じます。
そしてこれは今回に限った話ではありません。OSSを事業部門主導で入れること自体は否定すべきではなく、むしろ現実的な選択です。問題は、導入時に「アップデートは誰が、どの予算でやるのか」を決めていないことに尽きます。台帳に一行足しておくだけで、こういう日の初動が数日短くなります。
情シスはどうすべきか
個別のチェックリストを自作するより、公的機関がまとめた指針を土台にするほうが確実で、経営層への説明材料にもなります。
- 中小企業の情報セキュリティ対策ガイドライン（IPA） … 「どの情報資産がどこにあるか」を洗い出す資産管理の考え方が整理されています。部門導入システムの棚卸しを始める際の出発点として使えます。
- 対策のしおり（IPA） … 今回のような「ログイン状態で不審なリンクを踏まない」という利用者側の行動は、結局のところ地道な啓発でしか底上げできません。エンドユーザー向け資料としてそのまま配布できます。
- 情報セキュリティ早期警戒パートナーシップガイドライン（IPA） … 今回のCVEもこの枠組みで報告・調整されたものです。自社製品・自社サイトの脆弱性を受け取る側になったときの流れも押さえておくとよいでしょう。
深刻度の読み方そのものに不安がある場合は、CVSSとは？脆弱性の深刻度を評価する仕組みと使い方もあわせてご覧ください。似た構図の事例としては、内製ツール基盤で保存型XSSが見つかったAppsmithのケース、国産ソフトで全旧版が対象となったてがろぐの事例が参考になります。届出全体の傾向はIPA脆弱性届出2万件超｜累計7割がウェブサイトで整理しています。
まとめ
- F-RevoCRM 7.3.0〜8.0.3にXSS脆弱性 CVE-2026-71368（JVN#58692577）。ログイン中のユーザーが細工されたページを開くと、ブラウザ上で任意のスクリプトが実行される可能性がある。
- 修正版は8.0.4のみで、7系向けの単独パッチは提供されていない。7系利用者はPHP 8.3以降・MySQL 8.4といった要件を伴う8系移行か、リリースノートが案内するPull Request #1803の個別適用かを判断する必要がある。
- まずは自社に稼働しているか、稼働しているならバージョンはいくつかを
vtigerversion.phpで確認する。サポート契約環境は対応済みとされているため、優先すべきは自前運用の環境。
