国産のオープンソースCMS「SOY CMS」に、認証なしでWebサーバの権限のまま任意のコードを実行される脆弱性（CVE-2026-78032、CVSS v3 基本値 9.8／v4 9.3）が公表されました。JPCERT/CCとIPAが2026年8月28日にJVN#04485476として公開したもので、修正版は同年8月24日にリリース済みです。
ただし、この件はバージョン番号を見るだけでは判断を誤ります。同じ「SOY CMS」でも配布元が二系統あり、影響を受けるのは齋藤毅氏が提供する系統だけです。株式会社Brassicaが提供するSOYシリーズは影響を受けない、とJVNが明記しています。
この記事でわかること
- SOY CMSとは何をするもので、どの機能の「土台」として動いているのか
- 公表された4件の脆弱性の内容と、深刻度の内訳
- なぜ「バージョン3.24.0以前」という条件を素直に読むと判定を誤るのか
- 自社サイトが該当するかを確認する具体的な手順
SOY CMSとは何者か——SOY Shopや問合せフォームの「土台」
SOY CMSとは、企業サイトやブログ、ネットショップを構築・運用するための国産オープンソースCMS（コンテンツ管理システム）です。2008年に公開され、オープンソースライセンスで無償配布されています。
使うのは主にWeb制作会社です。公式サイトは「Web制作会社様のためのCMS」と位置づけており、数ページ規模の企業サイトから大企業サイト、行政機関のサイトまで導入されているとしています。つまり情シスが自分で選定・導入したのではなく、サイト制作を委託した先が採用した結果として社内に存在しているケースが多い製品です。
そして重要なのが、SOY CMSが単体で完結していない点です。SOY CMSは本体をコンパクトに保ち、「SOY App」という仕組みで機能を足す設計になっています。
- SOY Shop（ECサイト構築・在庫／注文／顧客管理）
- SOY Inquiry（お問合せフォーム）
- SOY Mail（メールマガジン配信）
- SOY Calendar／SOY Gallery
これらはいずれもSOY CMS上で動きます。配布ページも「SOY Shopのバージョンアップを行う際は、事前にSOY CMSを最新版にバージョンアップしてから行ってください」と依存関係を明記しています。「うちはCMSなんて入れていない。使っているのは問合せフォームとネットショップだけ」という認識でも、その下でSOY CMSが動いている——ここが今回の落とし穴です。
何が起きたのか
公表されたのは4件です。深刻度が突出しているのはCVE-2026-78032の1件で、残る3件はログイン中のユーザーを狙うクロスサイトスクリプティング（XSS）です。
| CVE番号 | 種類 | 影響を受ける製品・バージョン | CVSS v3／v4 | 想定される影響 |
|---|---|---|---|---|
| CVE-2026-78032 | 信頼できないデータのデシリアライゼーション（CWE-502） | SOY CMS ver 3.24.0 およびそれ以前 | 9.8 ／ 9.3 | 第三者がWebサーバの権限で任意のコードを実行 |
| CVE-2026-73827 | クロスサイトスクリプティング（CWE-79） | SOY Calendar ver 2.4.0 およびそれ以前 | 5.4 ／ 4.8 | ログイン中ユーザーのブラウザ上で任意スクリプト実行 |
| CVE-2026-77838 | クロスサイトスクリプティング（CWE-79） | SOY Calendar ver 2.4.0 およびそれ以前 | 5.4 ／ 4.8 | 同上 |
| CVE-2026-78238 | クロスサイトスクリプティング（CWE-79） | SOY Gallery ver 2.0.0 およびそれ以前 | 5.4 ／ 4.8 | 同上 |
CVE-2026-78032のCVSSベクタは CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H。ネットワーク経由・攻撃条件が容易・権限不要・利用者の操作不要で、機密性・完全性・可用性のすべてに高い影響が出る、という最悪に近い組み合わせです。CMSは性質上インターネットに公開されているため、攻撃者から見れば直接手が届きます。
なお開発者は、この任意コード実行はPHP 7.0以降の環境で動作させている場合に影響を受けると補足しています。現行環境のほとんどが該当すると考えてよいでしょう。
デシリアライゼーションの脆弱性はなぜ危険なのですか
外部から受け取った文字列をプログラム内部のオブジェクトへ復元する処理に、細工されたデータを渡すと、復元の過程で意図しない処理が動き、任意のコード実行につながるためです。入力値のチェックをすり抜けやすく、認証前の処理に潜んでいると今回のように「権限不要」で成立します。
影響を受けるのは、どちらのSOY CMSですか
齋藤毅氏が配布している系統のみです。JVNは影響を受けるシステムの記載に続けて「株式会社Brassicaが提供するSOYシリーズは、本脆弱性の影響を受けません」と明記しています。
なぜ配布元が二つあるのか。齋藤氏の配布ページには、公式の開発元がSOY CMSの開発とメンテナンスを停止しているため、元開発者である同氏が有志（非公式）として開発を継続している、という趣旨の説明が置かれています。OSSでよくある「保守の主体が入れ替わったが、旧配布元のサイトも残り続けている」状態です。
バージョン番号の体系が違うのが最大の落とし穴
ここが実務上いちばん危ないポイントです。二系統でバージョン番号の付け方が異なります。
| 配布元 | 今回の脆弱性 | 直近のバージョン表記 |
|---|---|---|
| 齋藤毅氏（saitodev.co） | 対象（3.24.0 以前が影響） | SOY CMS 3.25.0（2026年8月24日リリース） |
| 株式会社Brassica（soycms.net） | 影響を受けない | SOY CMS 3.2.1（2026年8月17日リリース） |
「3.2.1」と「3.24.0」は数字が似ていて、しかも大小関係が直感と逆になりがちです。Brassica版の3.2.1を使っている担当者が「3.24.0以前が対象と書いてあるから、うちの3.2.1も対象だ」と誤って読む、あるいは齋藤氏版の3.24.0を使っている担当者が「3.2.1より新しいから大丈夫」と誤読する——どちらの方向にも間違えます。まず配布元を確定させ、そのうえでバージョンを見るという順番を守ってください。
自社が該当するか、どう確認すればよいですか
順に潰すのが確実です。自社サイトの構築を外部に委託している場合、①と②は情シス単独では答えが出ないことが多く、制作会社への確認が近道になります。
- そもそもSOY CMSを使っているかを洗い出す。コーポレートサイト、採用サイト、製品・キャンペーンサイト、ネットショップ、問合せフォームまで含めて棚卸しします。SOY Shop・SOY Inquiry・SOY Mail・SOY Calendar・SOY Galleryのいずれかを使っていれば、土台にSOY CMSがあります。
- 配布元を確認する。齋藤氏（saitodev.co）から入れたのか、Brassica（soycms.net）から入れたのか。制作会社への問い合わせが最も確実です。
- バージョンを確認する。SOY CMSの管理画面は「設置フォルダ配下の
/admin」（例:https://example.com/cms/admin）に置かれます。ここにログインしてバージョン表記を確認します。 - 齋藤氏版で3.24.0以前なら、修正版へ更新する。
公開資産の棚卸しそのものに課題があると感じた場合は、外部から見えている自社資産を継続的に把握する考え方が参考になります（EASMとは？外部攻撃対象領域管理の仕組みを解説）。
修正版のバージョン
齋藤氏が2026年8月24日にリリースした最新版は以下のとおりです。SOY InquiryとSOY ShopはJVNの影響製品リストには挙がっていませんが、同時に最新版が出ています。
- SOY CMS: ver 3.25.0
- SOY Calendar: ver 2.5.0
- SOY Gallery: ver 2.1.0
- SOY Inquiry: ver 2.11.0
- SOY Shop: ver 2.15.0
SOY Shopを更新する際は、先にSOY CMS本体を最新版へ上げる必要がある点に注意してください。
想定されるリスク
Webサーバ権限での任意コード実行が成立した場合、影響はサイトの見た目の改ざんにとどまりません。
- サイト改ざんによる来訪者への攻撃。自社サイトが取引先や顧客を攻撃する踏み台になります。改ざんされたサイトで偽の認証画面を表示して操作を誘導する手口も現に確認されています（改ざんサイトで偽認証画面 ClickFixの手口と対策）。
- データベース内の情報の窃取。SOY Shopを併用していれば、注文情報や顧客情報が同一システム上にあります。
- Webサーバを起点とした横展開。同一サーバに他サイトを相乗りさせている場合、被害が波及します。
- 復旧判断の遅れ。CMSが侵害されると、原因特定と復旧の判断に時間がかかります。CMS運用中のサイトが不正アクセスを受けた事例としては、WordPress78サイトに不正アクセス｜学研メディカルのように多数サイトへ一斉に波及するパターンもあります。
現場目線の課題
正直なところ、この手の脆弱性で情シスがいちばん困るのは「技術的な対処」ではなく「そのサイトが自分の管轄なのか分からない」ことです。
コーポレートサイトは広報が、採用サイトは人事が、キャンペーンサイトは事業部が、それぞれ別の制作会社に発注している——という会社は珍しくありません。ドメインもサブドメインで散らばり、契約書は総務のキャビネットにあり、保守契約が切れているのか続いているのかも判然としない。脆弱性情報が出てから「これ、うちのどのサイトの話だろう」を調べ始めることになり、その調査に数日かかる。CVSS 9.8の未認証RCEに対して、これは相当に苦しい状況です。
加えて今回は配布元が二系統に分かれています。制作会社に問い合わせても「どちらから入れたか記録がない」という回答は十分あり得ます。その場合は実物のバージョン表記から判断するしかありません。「公式の開発元がメンテナンスを停止し、元開発者が引き継いでいる」という構図は、保守が細っている製品を抱え込むリスクとも地続きです（古野電気FA-50に脆弱性2件 生産終了で修正なし）。今回は幸い、引き継いだ開発者が迅速に修正版を出しています。
情シスはどうすべきか
まずは前述の①〜④の確認を、優先度を上げて回してください。CVSS 9.8・認証不要・利用者の操作不要という条件が揃っているため、悠長に構える種類の脆弱性ではありません。
そのうえで、対策の型そのものは自前で作り込むより公的な指針に沿うのが確実です。委託先を含めた体制づくりや、Webサイト運用に必要な最低限の管理項目については、IPAの中小企業の情報セキュリティ対策ガイドラインが委託管理まで含めて整理されており、社内説明の下敷きにも使えます。実際に侵害された場合に誰が何を判断するのかを事前に握っておきたい場合は、IPAのセキュリティインシデント対応 机上演習教材が有効です。
地味ですが効くのは、公開サイトの一覧と、それぞれの「使っているCMS・配布元・バージョン・保守の連絡先」を1枚にまとめておくことです。今回のような想定外が来たとき、この1枚があるかどうかで初動が変わります。サイト運用を担う非IT部門の担当者に、更新が止まると何が起きるのかを平易に伝えておく啓発も効きます（IPAの対策のしおりが社内説明の素材に使えます）。
中長期の視点
今回の件が示しているのは、OSSは「製品名」ではなく「誰が保守している何番のパッケージか」で管理しないと危ない、ということです。名前が同じでも、保守主体が分かれた瞬間に脆弱性情報の適用可否が変わります。資産管理台帳に「SOY CMS」とだけ書いてあっても、今回の判断はできません。あわせて、Webサイトは納品で終わりではなくCMSという稼働中のソフトウェアを抱え続ける契約だという理解を、発注元の各部門と共有しておきたいところです。制作費に保守が含まれるのか、含まれないなら誰が更新を当てるのか。この一点を契約時に決めておくだけで、次の脆弱性への動きが変わります。
まとめ
- SOY CMS ver 3.24.0以前に、認証不要でWebサーバ権限の任意コード実行が可能な脆弱性CVE-2026-78032（CVSS v3 9.8）が公表された。修正版はSOY CMS 3.25.0。
- 影響を受けるのは齋藤毅氏が提供する系統のみで、株式会社Brassica提供版は影響を受けない。両者はバージョン番号の体系が違う（3.25.0 と 3.2.1）ため、番号だけで判断すると誤る。
- SOY Shop・SOY Inquiry・SOY Mailなどを使っているサイトは、土台でSOY CMSが動いている。「CMSは入れていない」という認識でも棚卸しの対象に含めること。
出典
- JVN: JVN#04485476 SOYシリーズにおける複数の脆弱性（2026年8月28日公開／報告者: 株式会社ラック 熊丸匠伍氏）
- JVN iPedia: JVNDB-2026-000125
- 開発者情報: SOY CMSおよび関連SOY Appのセキュリティ修正版をリリースしました（2026年8月24日）
- 配布ページ: SOY CMS ダウンロード（saitodev.co）
- 公式サイト: SOY CMS 公式サイト（株式会社Brassica）
- IPA: 中小企業の情報セキュリティ対策ガイドライン
