acmailerに管理者権限を奪う脆弱性 CVE-2026-70408、4.1.2へ更新を

レンタルサーバーに置いて使う無料のメール配信ソフト「acmailer（エーシーメーラー）」に、脆弱性が2件公表されました。JPCERT/CCとIPAが2026年8月19日にJVN#47716829として公開したもので、重いほうのCVE-2026-70408は危険度8.8。権限を絞って渡したはずの担当者用アカウントから、管理者権限を持つアカウントを勝手に作られてしまうという中身です。

修正版はacmailer CGI ver.4.1.2とacmailer DB ver.1.2.2で、開発元のエクストライノベーション株式会社が2026年7月27日にすでに配布しています。ただし、そのお知らせは「バージョンアップ内容」として2行書かれているだけで、「脆弱性」という言葉もJVN番号も出てきません。危険度を利用者が判断できる形になっていないので、この記事で補います。

そしてもうひとつ。acmailerは2023年の夏から不正アクセスの被害が相次ぎ、京都・滋賀・福井・大阪・茨城の各府県警が繰り返し注意を呼びかけてきた製品です。被害の多くは「もう使っていないのに、サーバーに置いたままだった」パターンでした。現在使っていない人ほど読む価値があります。

今回見つかったのは2件、重いのは「担当者が管理者になれる」ほう

acmailerには、メールの配信作業だけを任せるためのサブアカウントという仕組みがあります。「配信は頼むが、設定はいじらせない」という使い方をするためのものです。CVE-2026-70408は、このサブアカウントの持ち主が、管理権限を持つ別のサブアカウントを作れてしまうというものでした。JVNの表現では「サブアカウントユーザーによって、管理権限を持つサブアカウントが作成される」となっています。

これは権限昇格と呼ばれる種類の欠陥です。渡したはずの権限の枠を、渡された側が自分で広げられてしまう。委託先や派遣スタッフ、退職したアルバイトにアカウントを配っていた組織にとっては、「あの人はもう見られないはず」という前提が崩れます。危険度8.8という数字は、ログイン後に成立する欠陥としては相当高い部類です。

もう一方のCVE-2026-66358はクロスサイトスクリプティングで、細工した文字列を仕込んでおくと、それを画面で開いた人のブラウザ上で攻撃者の書いた命令が動くというものです。管理者にこれを踏ませれば、ログイン中のセッションを乗っ取れます。単体では6.1ですが、上の権限昇格と組み合わせると効きます。

この2件は、JVN・JVNDB-2026-000118での公表と同じ2026年8月19日に、米国の脆弱性データベースNVDにも登録されました。登録を担当したのはJPCERT/CCで、参照先としてJVNと開発元のお知らせが挙げられています。危険度の数値もJVNと同じ（CVE-2026-70408が8.8、CVE-2026-66358が6.1）です。

つまり番号で検索すれば情報が出てくる状態になりました。ただし、これで自動的に安心できるわけではありません。CVE番号を手がかりに危ないソフトを見つける仕組みは、パッケージ管理の仕組みに乗っているソフトを前提にしています。acmailerはレンタルサーバーに手で置いて使うものなので、そうした自動検知の対象に最初から入っていないことがほとんどです。結局は、自分のサーバーを自分で見にいくしかありません。次の章がその手順です。

誰が、何のために狙うのか

acmailerを狙ってきたのは、検索エンジンで「acmailerが置いてあるサイト」を機械的に集めて回る攻撃者です。国家がらみの高度な集団というより、数を稼いで踏み台を確保する層が中心でした。滋賀県警は2023年の注意喚起で、調査の結果「acmailerの管理者権限を取得し、サイバー犯罪の踏み台として利用される実態が浮かび上がりました」と書いています。

彼らがやるのは、奪ったメール配信機能を使って、そのサイトの名前で偽メールを一斉に送ることです。ふだんメルマガが届いている送信元から来るので、受け取る側は疑いません。あわせて、登録者名簿をまとめてダウンロードします。サイト本体のファイルを書き換えて別の内容を表示させたり、不正なプログラムを置いていくケースもありました。

被害はふた通りに分かれます。登録していた人は、氏名やメールアドレス、場合によっては住所や年齢まで流出し、その後の詐欺メールや嫌がらせの標的になります。運営していた組織は、名簿の流出をおわびする側に回り、自社ドメインから偽メールを撒いた発信元として扱われます。レンタルサーバー事業者側で不正ログインが起きたときは事業者の発表を待てますが、acmailerは自分で置いたソフトなので、責任も対処もすべて設置した側にあります。

acmailerとは何か、なぜ日本のサイトに多いのか

acmailerは、メルマガや一斉メールを自前で配信するためのソフトです。外部のサービスを契約するのではなく、自分が借りているレンタルサーバーの中に置いて動かすのが特徴で、公式サイトも「あなたのWEBサイトにシステムを設置する独自配信タイプ」「広告なども一切入りません」とうたっています。もとは株式会社シーズが開発し、2021年8月にエクストライノベーション株式会社へ事業が移りました。20年近く使われてきた製品です。

普及した理由ははっきりしています。無料で、機能が多く、置くだけで動く。中小企業、個人事業主、NPO、公共施設、Web制作会社の受託運用まで、幅広く入りました。導入社数の公式な統計はありませんが、さくらインターネットが注意喚起の中で「さくらのレンタルサーバではクイックインストールによるacmailerのご提供はなく、動作保証も行っておりませんが、多数のお客様がご利用である事を確認しております」と書いています。事業者が動作保証していない製品について、わざわざ告知を出す規模で使われている、ということです。

この表の「更新のしかた」の差が、そのまま被害の差になってきました。無料のCGI版は上書き更新ができず、新しいフォルダに入れ直す手順です。手間がかかるぶん後回しにされ、後回しのまま忘れられます。有料のDB版は管理画面のボタンひとつで上がるので、更新漏れが起きにくい。今回のように「修正版は出ているのに当たっていない環境が大量に残る」という構図は、この作りに由来します。

自分のサーバーに入っているか確認する

「うちは使っていたはずだが、いまどうなっているか分からない」という状態がいちばん危険です。さくらインターネットが公開している確認手順が具体的なので、それに沿って書きます。他社のサーバーでも考え方は同じです。

1. フォルダを探す。 acmailerの導入手順では設置先が /acmailer になるよう案内されているため、公開領域にこの名前のフォルダがあるかをまず見ます。FTPソフトでもファイルマネージャーでも構いません。フォルダ名は自由に変えられるので、見つからない場合は次のファイル名でサーバー全体を検索してください。

2. バージョンを見る。 設置フォルダの中の lib/setup.cgi を開き、$SYS->{version} と書かれた行を探します。ここに入っている番号が、いま動いているバージョンです。CGI版で4.1.2より小さい数字、DB版で1.2.2より小さい数字なら対象です。

3. 外から見て気づくこともある。 メルマガの登録フォームの下に「powered by メール配信CGI acmailer」と表示されている場合があります。無料版はこの表記が条件になっているためで、外部の研究者が設置サイトを見分けるのにも使われてきた手がかりです。自社サイトの登録フォームを開いて確認してみてください。

4. 古い機能のファイルも見る。 2021年の脆弱性の原因になったアンケート機能のファイル（enq_detail.cgi、enq_edit.cgi など）が残っていないかも確認します。この機能は2021年1月のver.4.0.3で削除されたものなので、まだあるなら相当古いまま止まっている証拠です。

使っていないのに残っているのが、いちばん危ない

公表されている被害を並べると、共通点がはっきり出ます。

千葉県立君津亀山青少年自然の家では、2023年12月に不正アクセスを受け、登録者613件分のメールアドレスがCSVでダウンロードされました。日経クロステックの報道によれば、このメルマガは同年2月1日に配信を終了していたにもかかわらず、システムはサーバー上に配信できる状態のまま残っていました。運用をやめた10か月後に抜かれた形です。

発達障害当事者協会は、2023年9月に登録者宛の不適切なメールが相次いだことから不正アクセスに気づき、約800名分の氏名とメールアドレスが流出したと2024年に公表しました。原因として2021年のCVE-2021-20617・CVE-2021-20618を挙げています。流出した情報はネット上に公開され、対象者への嫌がらせが続いたとしています。

2025年にも続きます。ひろしプロジェクトではacmailerのフォルダに不正なプログラムが置かれ、ブログのトップページが改ざんされたうえ、登録者約260名分の氏名・性別・年齢・メールアドレス・住所が流出しました（ScanNetSecurity報道）。朝日ホームズも同時期にWebサーバーの改ざんとメールアドレス141件の流出を公表し、原因欄に「メール配信CGI『acmailer』の脆弱性を突かれた可能性」と明記しています。

大阪府警はこの構図を「メール配信システムは放置厳禁！」という見出しで注意喚起し、過去に利用していて削除しなかったために被害に遭った事例があると書いています。さくらインターネットも「現在acmailerをご利用されておらず、設置されたファイルのみが残っている場合も削除ください」と明記しています。

茨城県警察本部も2025年10月、公式アカウントで「不要の場合は削除しましょう」と呼びかけています。更新する予定がないなら、更新ではなく削除が正解です。名簿ファイルも一緒に消してください。

2023年から続く、警察の注意喚起という異例の事態

一つのソフトについて、複数の県警が別々に注意喚起を出すのは珍しいことです。acmailerの経緯を並べます。

この表で注目してほしいのは、2021年3月に直った穴が、2025年2月になってからJVN（CVE-2021-46686、危険度9.8）として公表されている点です。修正はとっくに出ていたのに、番号が付いて世に知られるまで4年かかりました。そのあいだ、更新していない環境は「情報がないから安全」ではなく「情報がないまま危険」でした。2023年夏の被害急増は、まさにそのすき間で起きています。

今回もよく似た形です。修正版が出たのは7月27日、JVNでの公表は8月19日で、3週間ほどのずれがありました。しかも開発元の告知には脆弱性という言葉がありません。米国政府が公開する実際に攻撃されている脆弱性のリスト（KEV）を確認しても、acmailer関連は2026年8月18日版まで1件も載っていません。日本国内では警察が「悪用の実態がある」と公表しているのに、国際的なリストには存在しない。国産ソフトの脆弱性情報が海外の仕組みに乗りにくいことを示す、わかりやすい例です。

いま何をすればいいのか

やることは、使っているかどうかで分かれます。

いま使っている場合は更新します。 acmailer DBなら管理画面のボタンから上げられます。無料のCGI版は入れ直しの手順で、設定と名簿をバックアップし、公式サイトから最新のインストーラを取得して新しいフォルダに設置し、実行後に install.cgi と init_ctl.cgi を削除する、という流れになります。この2つのファイルを消し忘れると、それ自体が2021年の脆弱性の入り口として残ります。

使っていない場合は削除します。 フォルダごと消し、登録者名簿のファイルも一緒に消してください。「いつか再開するかもしれない」で残すのが、これまで最も多くの被害を出してきたパターンです。再開するときに入れ直せば済みます。

サブアカウントを配っている場合は棚卸しをします。 今回の穴は、権限の低いアカウントを持っている人が管理者を作れるというものでした。更新前に作られた管理権限のアカウントが残っていないか、いま有効なアカウントの一覧を確認してください。委託先や退職者のアカウントが生きたままなら、そこで止めます。

すでに入られていないかも見ます。 メルマガの送信履歴に覚えのない配信がないか、名簿がダウンロードされた形跡がないか、サイトのファイルが書き換わっていないか。過去の被害はいずれも「登録者から不審なメールが届いたと連絡が来て気づいた」形で発覚しています。届いてから気づくのでは遅いので、こちらから見にいってください。

より根本的には、自前設置をやめる選択肢もあります。設置型は自由度が高い代わりに、更新の責任がすべて設置者に乗ります。20年動いてきた仕組みを更新し続ける体制が社内にないなら、外部のメール配信サービスへ移すほうが、結果として安く済むことが多いはずです。

まとめ

acmailerに公表された2件のうち、CVE-2026-70408は危険度8.8の権限昇格です。配信担当として渡したアカウントから管理者を作られてしまうため、複数人で運用している組織ほど影響が出ます。修正版はacmailer CGI ver.4.1.2、acmailer DB ver.1.2.2で、2026年7月27日から配布されています。

ただ、この製品でこれまで実際に被害を出してきたのは、新しい脆弱性そのものよりも「更新されないまま置かれ続けたacmailer」でした。613件、800件、260件、141件という流出は、いずれもそこから起きています。今日やるべきことは、自分のサーバーに /acmailer があるかを見て、あるなら最新版に上げるか、使っていないなら消すか、そのどちらかを決めることです。

参照元

• ▸JVN#47716829 - acmailerにおける複数の脆弱性（2026年8月19日）
• ▸JVNDB-2026-000118（2026年8月19日）
• ▸NVD - CVE-2026-70408（2026年8月19日登録、危険度8.8）
• ▸NVD - CVE-2026-66358（2026年8月19日登録、危険度6.1）
• ▸acmailer公式 - acmailer CGI ver.4.1.2、acmailer DB ver.1.2.2 バージョンアップ内容（2026年7月27日）
• ▸さくらインターネット - 【再掲】acmailerの脆弱性にご注意ください（2023年9月6日初出／2025年3月31日再掲）
• ▸JVN#35906450 - acmailerにおける複数の脆弱性（2021年1月14日、CVE-2021-20617／20618）
• ▸JVN#96957439 - acmailerにおけるOSコマンドインジェクションの脆弱性（2025年2月14日、CVE-2021-46686）
• ▸JVN#84319378 - acmailerにおけるクロスサイトスクリプティングの脆弱性（2025年2月12日、CVE-2023-49780）
• ▸大阪府警察 - サイバーセキュリティ対策通信「メール配信システムは放置厳禁！」
• ▸茨城県警察本部 - acmailerの脆弱性に関する注意喚起（2025年10月29日）
• ▸福井県警察 - acmailerの脆弱性を悪用した不正アクセスに関する注意喚起（2023年8月7日）
• ▸日経クロステック - 千葉県立君津亀山青少年自然の家のメルマガ不正アクセス
• ▸ScanNetSecurity - ひろしプロジェクトWEBへの不正アクセス（2025年3月10日）
• ▸ScanNetSecurity - acmailerの脆弱性を悪用した不正アクセスへの注意喚起（2023年9月6日）
• ▸acmailer公式 - acmailer DB