サイト作成ソフト「Grav」に深刻な脆弱性が複数、CVE-2026-65008などでサイト乗っ取りの恐れ 最新版へ更新を

ホームページやブログを作るためのソフト「Grav」に、サイトを乗っ取られる恐れがある脆弱性（ソフトの弱点）が2026年7月にまとめて公表されました。開発元のTrilby Mediaとセキュリティ企業VulnCheckが連携して公開した一連の弱点で、なかには最も深刻な「緊急」レベルのものが含まれています。

今回まとめて出たなかで特に危ないのが、CVE-2026-65008（10点満点で9.8）です。悪用されると、遠くにいる攻撃者がサーバー上で好きなプログラムを動かせてしまう可能性があります。ほかにも管理者になりすませる弱点（CVE-2026-65007）や、一般利用者が管理者へ昇格できる弱点（CVE-2026-65603）などが同時に公表されました。いずれも古いバージョンが対象で、最新版に更新すれば防げます。今のところ実際に悪用されたという報告はありません。

この記事では、自分のサイトが対象になるのか、どのバージョンに上げればよいのか、今すぐ何をすればよいのかを、専門知識がなくても分かるように整理します。

そもそも「Grav」とはどんなソフトか

Gravは、ホームページやブログ、マニュアルサイトなどを作るためのソフトです。こうした「サイトの中身を管理するソフト」を、一般にCMS（コンテンツ管理システム）と呼びます。世界で最も使われているCMSはWordPressですが、Gravはそれとは違うタイプで、開発者や技術に詳しい人に好まれています。

大きな特徴は、データベースを使わないことです。多くのCMSは記事や設定をデータベースという別のソフトに保存しますが、Gravは中身をすべてファイルとして持ちます。この仕組みは「フラットファイル型」と呼ばれ、動作が軽く、設置や引っ越しが簡単だという利点があります。技術文書のサイトや、企業の小規模サイト、個人のブログなどでよく使われています。

Grav本体には、機能を追加する「プラグイン」という部品を組み合わせられます。今回公表された弱点は、Grav本体のものと、ログイン用プラグインやAPI用プラグインなど、追加部品のものが混在しています。どの部品を使っているかで、対象かどうかが変わってきます。

2026年7月にまとめて公表された脆弱性

今回の一連の弱点は、Grav公式のセキュリティ告知とVulnCheckの勧告で公開されました。数が多いので、まず「どの部品の・どのバージョンが対象で・どこまで上げれば直るか」を一覧にまとめます。深刻度は10点満点で、9以上が「緊急」、7〜8点台が「重要」です。

この表からわかる大事な点は、対象は2026年7月時点で最新のひとつ前あたりまでのバージョンだということです。Grav本体は2.0.7、その後2.0.9で残りの弱点も直っています。プラグインを使っている場合は、そのプラグインごとに上げる必要があります。

誰が狙い、何をしてくるのか

CVSSの数字や専門用語だけでは、自分に関係があるのか分かりにくいものです。ここでは「誰が・何のために・どんな被害を出すのか」をかみくだいて説明します。

今回の弱点を狙うのは、インターネット上に公開されているGrav製サイトを機械的に探し回る攻撃者です。特定の誰かを狙うというより、「古いGravで動いているサイト」を手当たり次第に見つけ、入り込めそうな穴が残っていないか試していくタイプの攻撃が想定されます。

見つけた穴を使って攻撃者がやろうとするのは、管理者になりすましてサイトの中身を書き換えたり、サーバー上で自分のプログラムを動かしたりすることです。今回のCVE-2026-65008のように「サーバー上で任意のプログラムを実行できる」段階まで進むと、そのサイトを土台にして別の攻撃を仕掛けたり、置いてあるデータを盗んだりできてしまいます。

被害は二方向に出ます。サイトを訪れる一般の人にとっては、見ているページが改ざんされていたり、偽の入力画面に情報を抜き取られたりする危険があります。サイトを運営する企業や個人にとっては、乗っ取り・データ流出・復旧作業という直接の損害に加え、信頼の低下という後を引くダメージが残ります。だからこそ、悪用が広がる前に最新版へ上げておくことが何より大切です。

それぞれの脆弱性の中身（技術的な詳細）

ここからは、4件それぞれがどういう仕組みの弱点なのかを個別に見ていきます。技術に詳しくない方は、前半の一覧表と対処法だけ読めば十分です。

CVE-2026-65008：入力フォーム経由でサーバーを乗っ取られる（最も危険）

今回の目玉となる弱点です。Grav本体（2.0.4〜2.0.6）の入力フォーム処理に、外部から渡された値をプログラムの一部として実行してしまう欠陥（コードインジェクション、専門的にはCWE-94）がありました。NVD（米国の脆弱性データベース）は、深刻度を10点満点で9.8と評価しています。

攻撃の流れはこうです。まずページを編集できる権限を持つ利用者が細工を仕込み、その細工が入ったページを、あとから訪れた人のアクセスによって実行させます。厄介なのは、仕込みさえ済んでいれば、その後はログインしていない普通の訪問者がページを開くだけで悪意あるプログラムが動いてしまう点です。この「最後の一押しが誰でもできる」性質のため、NVDは実質的に認証なしで悪用が成立するとみなし、最高クラスの点数を付けています。Grav 2.0.7で修正されました。

CVE-2026-65007：APIの鍵を誰でも勝手に発行できてしまう

API用プラグイン（1.0.8未満）の弱点です。APIとは、外部のプログラムからGravを操作するための窓口で、その利用には「APIキー」という鍵が使われます。この鍵を発行したり無効にしたりする操作の権限チェックが不十分で、本来は限られた人しか使えないはずの機能が、ログインできる利用者なら誰でも、他人の名義の鍵まで作れてしまう状態になっていました（認可の欠落、CWE-862）。

他人になりすます鍵を手に入れれば、その人の権限でサイトを操作でき、そこから管理者権限の奪取やアカウント乗っ取りへとつながります。深刻度は9.6と評価されています。API用プラグインを1.0.8以上に上げれば解消します。API用プラグインを入れていないサイトは、この弱点の対象外です。

CVE-2026-65603：プロフィール更新から管理者に成り上がれる

ログイン用プラグイン（3.8.11以前）の弱点で、今回このニュースの入り口になったものです。Gravでは利用者が自分のプロフィールを更新できますが、その更新処理で、本来書き換えられてはいけない「権限を決める項目」までそのまま保存されてしまう欠陥がありました。具体的には、権限の低い利用者が自分のプロフィール更新に「自分を最上位管理者にする」という指定を紛れ込ませると、次のアクセスから最上位管理者として振る舞えてしまいます（不適切な権限管理、CWE-269）。

Grav公式の告知によると、以前の修正で新規登録の処理には権限項目を弾く対策が入っていたのに、よく似たプロフィール更新の処理には同じ対策が入っていなかったことが原因です。管理者に成り上がった後は、Gravの定時処理やテンプレート機能を悪用してサーバー上でプログラムを実行することも可能になります。深刻度は8.8。ログイン用プラグインを3.8.12以上に更新すれば直ります。なお、この弱点は標準的な利用者管理の設定でのみ成立し、より厳格な「Flex」という管理方式を使っている場合は影響を受けにくいとされています。

CVE-2026-57852：定時処理の入り口が認証なしで叩かれる

Grav本体（2.0.8以前）とスケジューラー連携プラグイン（1.1.2未満）にまたがる弱点です。Gravには決まった時間に処理を走らせる「スケジューラー」の仕組みがあり、外部から実行の合図を送るための入り口（Webフック）が用意されています。ここで合言葉（トークン）の照合処理に穴があり、合言葉を設定していない初期状態のサイトでは、認証なしのリクエストひとつで登録済みの定時処理をすべて実行できてしまう状態でした。

この弱点はVulnCheckの研究者が報告し、CVE-2026-57852として2026年7月9日に公表されました。深刻度は中程度ですが、他の弱点と組み合わされると被害が広がる恐れがあります。Grav本体を2.0.9に、スケジューラー連携プラグインを1.1.3に上げることで対処できます。

自分のサイトは対象なのか、どう確認するか

まず確認すべきは、使っているGrav本体のバージョンです。Gravの管理画面にログインすると、ダッシュボードに現在のバージョンが表示されます。ここが2.0.7より前なら、CVE-2026-65008の対象です。2.0.9より前なら、スケジューラー関連の弱点も残っています。

次に、追加しているプラグインを確認します。API用プラグインを入れているなら1.0.8以上か、ログイン用プラグインを入れているなら3.8.12以上かを見てください。逆に、これらのプラグインを使っていないサイトは、その分の弱点は関係ありません。「本体のバージョンだけ」「使っているプラグインだけ」を見れば、自分が対象かどうかは切り分けられます。

なお、Grav本体のバージョン番号が「1.7.x」のように大きく異なる古い世代を使っている場合は、そもそも今のサポート対象から外れている可能性が高く、今回の番号とは別に、早めに現行系列へ移行することを検討したほうがよいでしょう。

今すぐやるべき対処

対処はシンプルで、最新版に更新することに尽きます。Gravには管理画面から更新できる仕組みがあり、通知が出ていればそこから本体とプラグインをまとめて更新できます。コマンドで運用している場合は、Gravのパッケージ管理コマンド（GPM）で `bin/gpm selfupgrade` と `bin/gpm update` を実行すれば、本体と各プラグインを最新化できます。

更新の前には、必ずファイル一式のバックアップを取っておきましょう。フラットファイル型のGravは中身がすべてファイルなので、フォルダごと控えておけば、万一更新でうまく動かなくなっても元に戻せます。

すぐに更新できない事情がある場合は、当面の緩和策として、管理画面やAPIの入り口に社内・特定のIPアドレスからしか届かないよう制限をかける、スケジューラーのWebフックに合言葉（トークン）を必ず設定する、といった手当てで露出を減らせます。ただしこれらは時間稼ぎに過ぎず、根本対処は更新です。

今回のように、本体と複数のプラグインで別々に弱点が出るケースでは、「どの部品を・どのバージョンで使っているか」を普段から把握しておくことが効いてきます。使っている部品と既知の弱点を突き合わせて管理する考え方は、オープンソース部品の弱点を洗い出す仕組みの記事でも整理しています。プラグインを多く入れているサイトほど、この棚卸しが役立ちます。

実際に悪用されているのか

2026年7月22日時点で、今回の弱点が実際に攻撃に使われたという報告は確認されていません。米政府機関CISAが公開する「実際に攻撃されている脆弱性のリスト」（KEV）にも、いずれも登録されていません。今回の一連の公表は、攻撃が起きてからの後追いではなく、開発元とセキュリティ企業が連携して直してから知らせる「協調的な開示」の形で行われています。

とはいえ、弱点の詳細が公開された以上、これを手がかりに攻撃の準備を始める者が出てくる可能性はあります。特にCVE-2026-65008は深刻度が最高クラスで、公開されたサイトが狙われやすい性質を持ちます。実際に悪用が始まってから慌てるより、報告がない今のうちに静かに最新版へ上げておくのが、いちばん確実で手間の少ない守り方です。落ち着いて、しかし後回しにせず更新してください。

参照元

• ▸ GitHub Security Advisory - Coordinated Vulnerability Disclosure, Trilby Media / Grav CMS（GHSA-xwv3-2mv2-w33x）
• ▸ GitHub Security Advisory - Privilege escalation via profile self-update（GHSA-h33v-82r9-v8pm / CVE-2026-65603）
• ▸ VulnCheck Advisory - Grav Multiple Remote Code Execution Vulnerabilities
• ▸ NVD - CVE-2026-65008（Grav本体・コードインジェクション、CVSS 9.8）
• ▸ NVD - CVE-2026-65007（API用プラグイン・認可の欠落、CVSS 9.6）
• ▸ NVD - CVE-2026-65603（ログイン用プラグイン・権限昇格、CVSS 8.8）
• ▸ CVE.org - CVE-2026-57852（スケジューラーWebフックの認証回避）
• ▸ Grav 公式サイト（getgrav.org）
• ▸ Grav Security Overview（GitHub）