CISA勧告: ZoneMinderのOSコマンドインジェクションの脆弱性 (CVE-2026-76060)

CISAは2026年8月25日に、オープンソースのビデオ監視ソフトウェアであるZoneMinderの深刻度の高い脆弱性 (CVE-2026-76060) に関するサイバーセキュリティ勧告を発表しました。この脆弱性は、イベントエクスポート機能における認証済みOSコマンドインジェクションであり、HTTPパラメータ「exportFile」がサニタイズされずにPHPのexec()を介して実行されるシェルコマンドに渡されます。「イベントの表示」権限を持つ認証済みユーザーは、サーバー上で任意のオペレーティングシステムコマンドを実行でき、Webサーバーユーザーとして完全なリモートコード実行につながる可能性があります。影響を受けるバージョンはZoneMinder 1.37.48および1.38.3です。CVSS基本スコアは、CVSS v3.1では8.8 (高)、v4.0では8.7です。CISAは「Scriptkittens」が作成した公開された概念実証を発見し、ZoneMinderに報告しました。ベンダーはバージョン1.38.3以降へのアップグレードを推奨しています。現時点でCISAに報告された既知の公開悪用はありません。CISAは、ネットワークへの露出を最小限に抑え、ファイアウォールを使用し、ベンダーのパッチを適用するようユーザーにアドバイスしています。