てがろぐに不正ログインの欠陥 CVE-2026-64940、旧版すべてが対象で4.9.0へ

2026年7月29日、国が運営する脆弱性情報サイトJVNに、個人向けの投稿ツール「てがろぐ」の脆弱性が公表されました。ログインしていない第三者が、管理画面に入れてしまいます。危険度は共通のものさしで8.8（10点満点）です。

対象は2026年6月29日より前に配布された、すべてのバージョンです。「4.8.4だけが危ない」ではありません。Ver 1.0.0からVer 4.8.4まで、一つ残らず該当します。安全なのはVer 4.9.0だけです。

そして、この記事でいちばん伝えたいのはここです。修正版は1か月前にはもう出ていました。開発元は6月29日に4.9.0を公開し、「過去のバージョンは絶対に使い続けないで下さい」と繰り返し呼びかけています。今日のJVN公表は、その1か月遅れの答え合わせにあたります。まだ古いままなら、すでに1か月出遅れていると考えてください。

てがろぐとは何か、誰が使っているのか

てがろぐは、にししふぁくとりー（西村文宏氏）が無料で配布している投稿ツールです。自分のサイトに置くと、短い文章や画像を時系列で投稿できる「自分専用のつぶやき場所」ができあがります。データベースの用意はいらず、レンタルサーバーにファイルを8個アップロードするだけで動きます。

使っているのは、企業のシステム担当者ではありません。個人サイトや同人サイトの運営者が中心です。SNSに疲れて自分の場所に戻ってきた人、更新履歴を置きたい人、絵日記を載せたい人。ここ数年、そうした層で一気に広がりました。7月11日には「てがりんく」というユーザーサイトのリンク集も開設され、7月27日時点で199件が登録されています。

つまり今回の対象は、専任の管理者がいないサイトです。脆弱性の情報を毎日追いかけている人ではなく、趣味で自分のサイトを持っている人。そこに8.8の穴が空いている、というのが今回の構図です。

何をされるのか

JVNの記載は簡潔です。「当該製品にアクセス可能な第三者によって、管理画面にログインされる可能性があります。結果として、管理画面で使用可能な任意の操作を実行される可能性があります」。

言い換えると、そのサイトの管理者としてできることが、全部できてしまいます。投稿の書き換えと削除、設定の変更、画像などのファイルのアップロード、利用者アカウントの追加。ページの見た目を決めるスキンを差し替えることもできます。「アクセス可能な第三者」というのは、そのてがろぐがインターネット上に公開されているなら、事実上は誰でもという意味です。

危険度の8.8という数字は、CVSSという国際的な採点方法で付けられています。内訳を読むと、この点数の高さがどこから来ているかが分かります。ネットワーク越しに攻撃できる／特別な条件がいらない／事前のログインが不要／管理者に何かをさせる必要もない——ここまでが満点に近い評価で、一方で盗まれる情報の量そのものは「低」と見積もられています。「入られやすさ」で点が積み上がった脆弱性だと理解すると分かりやすいはずです。

分類はCWE-625（制限が不十分な正規表現）とされています。正規表現は文字列の形をチェックするための書き方で、たとえば「入力がこの形と一致するか」を判定するのに使います。この書き方が緩いと、本来はじくべき入力を通してしまいます。よくあるのが、文字列の先頭と末尾を固定し忘れたために「途中に一致していれば合格」になってしまうケースです。

ただし、てがろぐのどこがどう緩かったのかは公開されていません。開発元も具体的な手口には触れておらず、JVNの記載も分類までです。まだ更新していないサイトが多数残っている段階で手口を詳しく書けば、そのまま攻撃の手引きになります。ここは分からないままにしておくのが正しい状態です。この記事でも推測は書きません。

発見して届け出たのは、三井物産セキュアディレクションの東内裕二氏です。IPAの脆弱性関連情報の届出制度を通じて開発元へ伝えられ、修正版の公開後にJVNで公表される、という正規の流れをたどっています。

誰が、何のために狙うのか

個人サイトの運営者からすると、「うちみたいな小さいサイトを誰が狙うのか」と感じるはずです。ここが誤解されやすいところで、狙っているのはあなたのサイトに興味がある人間ではなく、同じ穴が空いたサイトをネット中から機械的に拾い集めている自動プログラムです。相手はサイトの中身を読みません。読むのは、そこに古いてがろぐが置いてあるかどうかだけです。

入り込んだあとにやることも、だいたい決まっています。見えない場所に別サイトへの誘導リンクや広告を仕込む、サーバーに自分用のプログラムを置いて次の攻撃の踏み台にする——この2つが典型です。派手に荒らして気づかせるより、静かに居座るほうが相手にとっては得だからです。

被害は、運営者と訪問者の両方に出ます。運営者にとっていちばん痛いのは、何年分もの投稿がまとめて消える、あるいは書き換えられることです。てがろぐは日々の記録として使われることが多く、失ったものが戻らない種類のデータです。加えて、不正なファイルが置かれればレンタルサーバー側からアカウントを止められることがありますし、検索エンジンに「危険なサイト」と判定されれば、閲覧しようとした人のブラウザに警告が出るようになります。訪問者にとっては、いつも見ているサイトを開いただけで見知らぬページに飛ばされる、という形で現れます。

「管理画面が外から触れる状態で、そこへの入り口に穴が空く」という構図自体は珍しくありません。当サイトでも、Pi-holeの管理画面がパスワードなしで乗っ取られる脆弱性や、WireGuard Easyの管理画面から接続情報を盗まれる脆弱性を扱いました。違うのは、それらが技術者向けの道具だったのに対し、今回は技術者ではない人が使う道具だという点です。

自分のサイトのバージョンは、外から見えている

急いだほうがいい理由が、もう一つあります。てがろぐは、設置されていることも、バージョンも、外から確認できます。

まず、管理画面のログインページにはバージョン番号がそのまま表示されます。開発元が公開しているリリースノート用のてがろぐの管理画面を開くと、「てがろぐ Ver 4.9.0」という表示とログイン欄が並んでいるのが確認できます。この表示はどの設置サイトでも同じ形式で出ます。

次に、無料で使う条件としてページに「Powered by てがろぐ」の表記とリンクを載せることが必須になっています（表記を外したい法人向けには別途ライセンスが用意されています）。ライセンスとしてはごく普通の条件ですし、開発元に落ち度はありません。ただし結果として、てがろぐを設置しているサイトは自ら名乗っている状態になります。

実際、検索エンジンには古いバージョンのログイン画面がそのままインデックスされているものがあります。この記事の調査中にも、Ver 4.0系・4.2系のまま公開されているページが検索結果に出てきました（どのサイトかはここには書きません）。探そうと思えば見つかる状態である、という事実だけ受け止めてください。

これは開発元やユーザーを責める話ではありません。むしろ逆で、だからこそ公表から時間が経つほど不利になるという話です。JVNに載った今日から、この脆弱性の存在は誰でも知ることができます。更新は今日済ませるのがいちばん安く済みます。

1か月の空白に何があったか

開発元の対応は速く、そして丁寧でした。遅れたのは公的な情報公開のほうです。経緯を並べます。

← スワイプで移動

この1か月をどう見るかは、立場によって変わります。開発元は6月29日の公開告知と翌日の注意喚起ページで、できる限り強く呼びかけていました。手順を惜しまず、「使っていないものも確認してください」とまで書いています。やるべきことはやっていると言っていい対応です。

それでも、届いていない人はいます。てがろぐは置きっぱなしで動き続ける種類のソフトです。設置したあと数年触っていないサイトでは、公式サイトを見に行く機会そのものがありません。今日のJVN公表は、そういう人に届く数少ない機会でもあります。

ただし公表は、同時に反対側にも情報を渡します。悪用されたという報告は、この記事の執筆時点では開発元からもJVNからも出ていません。「まだ何も起きていない」うちに動けるのが今日だ、という理解が正確です。

更新のやり方

どのバージョンからでも、直接4.9.0へ上げられます。投稿データも設定もそのまま引き継がれます。途中のバージョンを順番に当てていく必要はありません。

いちばん簡単なのは、管理画面のボタンを押す方法です。てがろぐにはTegUpという更新用のプログラムが同梱されており、これが設置されていれば管理画面に「バージョンアップして下さい！」というボタンが出ます。押すだけで最新版に入れ替わります。

ボタンが出ない場合は手で入れ替えます。配布ページから最新版のZIPを落とし、tegalog.cgi・fumycts.pl・tegup.php の3ファイルを、いま動いているてがろぐのディレクトリに上書きアップロードします。設定ファイルやデータファイルには触りません。CGIファイルのパーミッション（実行権限）は、上書き後に元と同じ設定になっているかを確認してください。

そして、開発元が特に念を押しているのがここです。てがろぐを複数の場所に置いていないか、思い出してください。本体用と日記用で分けている、昔テスト用に別ディレクトリへ設置したまま忘れている、といったケースがあります。使っていないものも同じ穴が空いたまま公開されています。使う予定がないなら、更新するよりファイルごと消してしまうほうが確実です。

すでに入られていないか、どう確かめるか

正直に書くと、開発元は痕跡の確認方法を案内していません。技術的な詳細が非公開である以上、「この痕跡があれば入られた」と言い切れる指標も公開されていない、というのが現状です。以下は、この種の侵入で一般的に確認する項目です。

あわせて、更新後にパスワードを変更しておくことをおすすめします。今回の欠陥はパスワードを盗むものではありませんが、管理画面に入られていれば、その先で何をされていてもおかしくありません。同じパスワードを他のサービスでも使っている場合は、そちらも変えてください。

まとめ

個人サイトや同人サイトで使われている投稿ツール「てがろぐ」に、ログイン不要で管理画面に入られる脆弱性（CVE-2026-64940）が公表されました。危険度は8.8。対象はVer 4.8.4以前のすべてで、安全なのは2026年6月29日公開のVer 4.9.0だけです。

やることは一つです。管理画面のバージョン表示を見て、4.9.0でなければ今日中に上げる。管理画面にボタンが出ていれば押すだけ、出ていなければ3ファイルの上書きです。忘れて放置しているてがろぐが他にないかも、あわせて確認してください。

開発元は1か月前から強く呼びかけていました。遅れているのは公表のほうであって、対応のほうではありません。悪用の報告はまだ出ていませんが、設置サイトはバージョンごと外から見えるという性質上、公表後は時間が味方をしません。新しい情報が出れば、この記事に追記します。

参照元

• ▸ JVN#99975039 - てがろぐ -Fumy Otegaru Memo Logger-における制限が不十分な正規表現を使用している脆弱性
• ▸ CVE.org - CVE-2026-64940 の登録内容
• ▸ にししふぁくとりー - てがろぐ脆弱性対処報告と注意喚起（2026-06-29）
• ▸ にししふぁくとりー - てがろぐ Ver 4.9.0 公開の告知
• ▸ にししふぁくとりー - てがろぐ リリースノート
• ▸ にししふぁくとりー - お手軽マイクロブログCGI「てがろぐ」
• ▸ にししふぁくとりー - TegUp（1クリックでバージョンアップするツール）
• ▸ てがりんく - てがろぐユーザサイトリンク集
• ▸ MITRE - CWE-625: Permissive Regular Expression
• ▸ IPA - 脆弱性関連情報の届出受付