概要
CERT/CCは8月25日、Kalturaが配布するHTML5動画プレーヤーライブラリ「mwEmbed」(html5lib)に存在する未修正の重大脆弱性CVE-2026-19912(CVSS 10.0)およびCVE-2026-19913(CVSS 9.1)を公表した。いずれも認証なしでネットワーク経由での悪用が可能で、前者はリモートコード実行、後者はサーバー上の任意ファイル読み取りにつながる。研究者は2026年3月23日に脆弱性を報告し、CERT/CCも7月8日にKaltura社への通知を試みたが、同社からの応答は一切得られておらず、パッチが提供されないまま技術的詳細が公開される事態となった。影響を受けるのはhtml5lib v2.45、v2.103をはじめとするv2.x系のリリースで、個別導入環境だけでなくKalturaの共有CDNインフラを利用する複数テナントにも影響が及ぶ可能性がある。
技術的な詳細
両脆弱性の根本原因は、mwEmbedLoader.phpエンドポイントがユーザー制御のServiceUrlパラメータをPHPのunserialize()関数で検証なしに処理している点にある。CVE-2026-19913では、ServiceUrlにfile://形式のパスを指定することで、サーバーが本来意図するAPIレスポンスの代わりにローカルファイルを読み込んでしまう。逆シリアル化に失敗した際のエラーメッセージにファイルの生の内容がそのまま反映されるため、攻撃者はこれを利用してファイル内容を窃取できる。研究者はこの手法により/opt/kaltura/app/configurations/local.iniを取得し、データベース接続文字列や管理者/コンソールのパスワード、内部ホスト情報を入手できたことを実証している。
より深刻なCVE-2026-19912では、ServiceUrl経由で悪意あるシリアル化済みPHPオブジェクトを送り込むことに加え、uiconf_idパラメータのサニタイズ不備を突いたディレクトリトラバーサル(../など)によって、Web公開されているキャッシュディレクトリ配下に任意のペイロードを書き込める。書き込まれたファイルはWebサーバーの実行権限でそのまま実行されるため、リモートコード実行が成立する。この攻撃はファイルベースのキャッシュバックエンド(Kalturaのデフォルト構成)を前提とする。研究者のGerjan Wemekamp氏は、2019年のKaltura Serverの Dockerイメージを対象にエンドツーエンドのWebシェル設置を実証したとしつつ、両方の攻撃チェーンが現行リリースにも残存していることを確認したと述べている。
対応状況と推奨される緩和策
CERT/CCは脆弱性情報のステータスを「Unknown」とし、Kalturaからの公式声明は現時点で受領していないと明記している。パッチが提供されるまでの間、CERT/CCおよび報告者はいくつかの緩和策を提示している。具体的には、WAFやCDN側でmwEmbedLoader.phpエンドポイントへの外部アクセスを遮断または無効化すること、ServiceUrlパラメータを正規のAPIホストのみに限定するホワイトリスト運用とすること、uiconf_idにディレクトリトラバーサルを示す値が含まれる場合は拒否すること、キャッシュディレクトリ内でのPHP実行を禁止すること、そして万一侵害の可能性がある場合は設定ファイルに含まれる認証情報をすべてローテーションすることが挙げられている。mwEmbedを組み込んだサイトは多数に上るとみられ、パッチ未提供のまま詳細が公開されたことで、悪用リスクは当面続くとみられる。