サイボウズGaroonに脆弱性 CVE-2026-57279、対象は6.17.0と6.17.1だけ

サイボウズのグループウェア「Garoon（ガルーン）」に、ログイン中の利用者のブラウザーで勝手なプログラムを動かされる脆弱性が公表されました。共通脆弱性番号は CVE-2026-57279、JVN#72334274 として2026年8月3日に掲載されています。

先に結論を書きます。対象は、自社サーバーに入れて使うパッケージ版の 6.17.0 と 6.17.1 の2つだけです。それより古いバージョンも、6.17.2 以降も影響を受けません。サイボウズの不具合情報は、6.17.2 で改修済みと明記しています。

「Garoonに脆弱性」という見出しだけを見ると、9万社規模で使われている製品なので身構えたくなります。ですが今回に関しては、当てはまる組織はかなり限られます。以下、自分が対象かどうかを最短で判定できるように整理しました。

自分が対象かどうかの見分け方

3つ確認すれば終わります。

バージョンは、Garoonにログインしたあとの画面右上、または管理者向けのシステム管理画面から確認できます。判断に迷ったら、社内の情報システム部門か、導入を担当した販売パートナーに型番ではなくバージョン番号を聞いてください。

なお、サイボウズが今回出した告知は「パッケージ版 Garoon」を対象としたものです。同社のセキュリティ情報にも、クラウド版に関する記載はありません。ただし「クラウド版は影響を受けない」と明記した文も見当たらないため、当サイトとしてはクラウド版の扱いは未確認と書いておきます。クラウド版は同社側で更新されるため利用者側の作業は生じない運用ですが、これは一般論であって今回の件についての公式な言明ではありません。

何が起きる欠陥なのか

分類はクロスサイトスクリプティングです。本来は文字として表示されるはずの入力が、ブラウザーに「これは実行するプログラムだ」と解釈されてしまう種類の欠陥を指します。

今回問題があったのはスケジュール機能です。JVNの説明では「当該製品にログインしているユーザのウェブブラウザ上で、任意のスクリプトが実行される可能性があります」。予定のタイトルや本文といった、誰かが入力して他の人が見る場所が入り口になったと読めます。ただしサイボウズは「攻撃につながる恐れがあるため、再現手順の公開はしていません」としており、具体的にどの入力欄かは公表されていません。

深刻度の内訳を見ると、この欠陥の性格がはっきりします。CVSS v4.0 のベクタは AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:N/SI:H/SA:N。機密性への影響はなく、可用性への影響もなく、完全性だけが高いという配点です。情報が丸ごと抜かれる類ではなく、画面の表示や操作を書き換えられる方向の被害だと評価されています。

さらに PR:L は「攻撃する側にも正規のログインが要る」ことを、UI:A は「被害者側が何か操作しないと成立しない」ことを示します。つまりインターネットから誰でも突ける穴ではありません。

誰が、何のために狙うのか

正規のアカウントが必要という条件から、狙う側の顔ぶれはかなり絞られます。現実的にありうるのは、すでに社内アカウントを1つ持っている人物です。何らかの経路で他人のIDとパスワードを手に入れた外部の攻撃者、退職手続きの途中でアカウントが生きたままの元社員、あるいは取引先として招かれている外部ユーザー。権限の低いアカウントでも成立します。

その相手が何をするか。狙いは自分より上の権限を持つ人にその予定を開かせ、その人のブラウザーの中で操作を代行させることです。Garoonは予定表だけの道具ではなく、稟議や申請の承認までを載せている組織が多い。管理者や決裁者の画面で勝手な操作が走れば、権限の壁をまたぐ足がかりになります。会社の予定表という、全員が毎日開く場所が入り口になるのも厄介な点です。

とはいえ、これは「そこまで持っていければ」という話です。実際に悪用された報告は出ていませんし、再現手順も公開されていません。過度に恐れる必要はない一方で、社内の人間しか通れない穴だから軽い、とも言い切れない。そのあたりの温度感で受け止めるのが妥当だと考えます。

まめに更新していた組織ほど対象になる、という構図

今回いちばん奇妙なのはここです。影響を受けるのが 6.17.0 と 6.17.1 という、直近の2バージョンだけだという点。

脆弱性の話は普通、「古いまま放置している環境が危ない」という形をとります。今回は逆で、新しいものが出るたびきちんと上げてきた組織が対象になり、6.16 で止めていた組織は当てはまりません。6.17.0 で入り込んだ不具合が、次の 6.17.2 で消えた、という短い出入りだったことになります。

この形は珍しくありません。当サイトでも、WordPressのプラグインで新しい版にだけ穴が入った例を扱っています。更新をさぼっていいという話ではまったくなく、「新しくしたから安心」も同じくらい成り立たないという話です。バージョンは、上げたかどうかではなく、いくつなのかで確認するしかありません。

Garoon 5以前を使っている場合の注意

今回の脆弱性の対象外である一方で、別の話として押さえておくべき記述がサイボウズの告知にあります。「Garoon 5以前ではパッチをリリースいたしません」。

今回の件は 6.17 系だけの問題なので Garoon 5 に影響はありません。ただしこの先どんな脆弱性が出ても、Garoon 5以前には修正が配られないということです。今は無関係でも、次に何か出たときには「対象だが直せない」側に回ります。

修正版が出ない製品を使い続けるリスクについては、当サイトでもシャープ複合機の78機種にファームウェアが提供されなかった件や、エレコム製ルーターのサポート終了品で扱ってきました。今回はまだ「まだ大丈夫」の側ですが、確認しておく機会にはなります。

この製品の脆弱性は、定期的に出ています

Garoonの脆弱性公表は今回が初めてではありません。直近では2026年2月にも3件がまとめてJVNに掲載されています。メール機能とメッセージ機能のクロスサイトスクリプティング、それにポータル設定の入力確認不備でした。このときはASCII.jpも記事にしています。

これはGaroonの品質が低いという話ではなく、機能の多いWebアプリケーションでは、入力を表示する箇所が多いぶん同種の欠陥が出やすいという構造の話です。むしろ注目すべきは、サイボウズが自社でCyVDBという管理番号を採番し、深刻度が一定以上のものは自主的にJVNへ公表する方針を掲げている点でしょう。

今回のJVNにも発見者の名前は載っていません。「製品利用者への周知を目的に、開発者がJPCERT/CCに報告し、調整が行われました」という形式で、外部の研究者からの指摘ではなくベンダー側からの届出です。2026年2月の案件では、1件に発見者としてMasato Kinugawa氏の名前が記載されていました。

いま確認すべきこと

パッケージ版を運用しているなら、まずバージョン番号を見ます。6.17.0 か 6.17.1 なら 6.17.2 へ上げてください。回避策は提示されていません。設定変更や機能の一時停止で凌ぐ手は用意されておらず、バージョンアップが唯一の対処です。適用手順は販売パートナーまたはサイボウズのサポートに確認することになります。

それ以外のバージョンなら、今回については何もしなくて構いません。ただ、この機会にアカウントの棚卸しをしておくと無駄になりません。この脆弱性は正規のログインが前提なので、使われていないアカウントが生き残っているかどうかが、そのまま攻撃可能性に効きます。退職者のアカウント、テスト用に作ったまま消していないアカウント、外部の協力会社に発行したままのアカウント。

なお、この番号は米国のNVDにはまだ登録されておらず（確認時点で「CVE ID Not Found」）、CISAの悪用確認リストにも入っていません。脆弱性を自動で照合する管理ツールを使っていても、今回の件は当面ひっかかりません。国内向けに公表された案件では珍しくない状況です。

まとめ

サイボウズ Garoon のスケジュール機能に、クロスサイトスクリプティングの脆弱性 CVE-2026-57279 が公表されました。対象はパッケージ版の 6.17.0 と 6.17.1 のみで、6.17.2 で修正されています。攻撃には正規のログインと被害者側の操作が必要で、悪用の報告はありません。

製品名の知名度に対して、実際に当てはまる組織はかなり限られる案件です。バージョン番号を1回見れば判定が終わります。むしろ持ち帰る価値があるのは、「新しいバージョンにも穴は入る」ことと、「Garoon 5以前にはもう修正が配られない」という2点のほうかもしれません。

よくある質問

クラウド版のGaroonを使っています。作業は必要ですか

今回サイボウズが出した告知はパッケージ版を対象としたもので、クラウド版への言及はありません。一方で「クラウド版は影響を受けない」と明記した文もないため、当サイトとしては未確認としています。気になる場合はサイボウズのサポートに確認するのが確実です。

6.16 を使っています。急いで上げるべきですか

今回の脆弱性については対象外なので、この件を理由に急ぐ必要はありません。ただし6.17系より前のバージョンには、それ以前に公表された別の脆弱性が該当している可能性があります。

アップデートせずに凌ぐ方法はありますか

ありません。サイボウズは回避策を提示しておらず、6.17.2 へのバージョンアップのみが対処として案内されています。

この脆弱性はすでに攻撃に使われていますか

悪用の報告は確認されていません。サイボウズは再現手順を公開しておらず、CISAの悪用確認リストにも収載されていません。

参照元

• ・JVN#72334274 サイボウズ Garoonにおけるクロスサイトスクリプティングの脆弱性
• ・サイボウズ CyVDB-4148 スケジュールに関するクロスサイトスクリプティングの脆弱性
• ・サイボウズ パッケージ版 Garoon 脆弱性に関するお知らせ（2026年7月31日）
• ・サイボウズ セキュリティ情報
• ・JVN#35265756 サイボウズ Garoonにおける複数の脆弱性（2026年2月）
• ・ASCII.jp サイボウズ Garoonに複数の脆弱性（2026年2月）
• ・サイボウズ Garoon 製品情報
• ・NVD CVE-2026-57279（確認時点で未掲載）