サイトアイコン IT & ライフハックブログ｜学びと実践のためのアイデア集

Kaltura旧動画プレイヤーに未認証RCE脆弱性　CVE-2026-19912／19913の影響と対策

greeden Inc.
旧動画配信サーバーの公開経路を防御し、安全な基盤へ移行する様子を表したサイバーセキュリティのイメージ

Kalturaの旧動画プレイヤー「Player V2」で使われるHTML5ライブラリに、外部から認証なしで悪用できる2件の脆弱性が公表されました。対象は、脆弱なmwEmbedLoader.phpを公開しているhtml5lib v2系です。

影響は、サーバー内ファイルの読み取りと、条件がそろった環境での遠隔コード実行です。現在サポートされているPlayer V7は対象外とされています。運用担当者は「Kalturaを使っているか」だけでなく、旧プレイヤーのエンドポイントが残っていないかを確認する必要があります。

CERT/CCが公表した2件の脆弱性

CERT Coordination Centerは、2026年8月25日に脆弱性ノートVU#308749を公開し、8月28日に内容を更新しました。CERT/CCの脆弱性ノートVU#308749によると、対象にはhtml5lib v2.45、v2.103以前の版、ならびに脆弱なmwEmbedLoader.phpを公開するほかのv2系リリースが含まれます。

識別子 主な影響 成立の要点
CVE-2026-19913 任意のローカルファイルの読み取り 外部入力で取得先を指定でき、解析失敗時に取得内容が応答へ含まれる
CVE-2026-19912 任意ファイルの書き込みと遠隔コード実行 安全でないデシリアライズと、保存先パスの検証不足が連鎖する

どちらもKalturaのセッション、利用者アカウント、Cookieを必要としません。攻撃者が対象エンドポイントへネットワーク経由で到達できれば、悪用を試みられる状態です。ただし、CERT/CCのノートは実環境での悪用発生を報告したものではありません。本件は、実悪用が確認されたインシデントではなく、新たに公開されたセキュリティ勧告として扱うべきです。

一つの入力値がファイル読み取りにつながる仕組み

脆弱なローダーは、リクエストのServiceUrlをバックエンドAPIの取得先として使います。その応答をPHPのunserialize()で復元する設計ですが、取得元の方式や内容を十分に検証していません。

CVE-2026-19913では、攻撃者がfile://形式でローカルファイルを指定できます。復元に失敗すると、生の内容がエラーメッセージへ含まれるため、Webサーバーの実行ユーザーが読めるファイルを外部から取得されるおそれがあります。設定ファイルにデータベース認証情報や管理用の秘密情報が保存されていれば、後続の侵入に使われる可能性があります。

発見者が公開した技術検証「One Parameter, Two Bugs」は、ファイル読み取りを実環境で確認し、遠隔コード実行の連鎖を検証用コンテナで再現しています。一方、現在版への完全な攻撃連鎖を本番環境で実行したわけではないとも明記しています。この範囲を超えて「すべてのKaltura環境で直ちにコード実行できる」と解釈するのは適切ではありません。

コード実行には複数の不備が連鎖する

CVE-2026-19912では、安全でないデシリアライズに加え、uiconf_idからキャッシュの保存先を組み立てる処理にも問題があります。パストラバーサルを防げないため、攻撃者が用意した内容をWebから到達できる場所へ書き込み、そのファイルを実行させる経路が成立します。

この遠隔コード実行経路は、既定のファイルベースキャッシュを使う構成で問題になります。memcacheだけを使う構成では当該の書き込みを抑えられる場合がありますが、取得元を信用してデシリアライズする不備と、パス検証の不足が解消されるわけではありません。キャッシュ方式だけを見て「影響なし」と判断せず、脆弱なエンドポイントの有無と更新状況を確認する必要があります。

最初に確認する対象

調査は、インターネットから見えるホストだけに限定できません。CDN、リバースプロキシ、旧サブドメイン、検証環境の公開設定を含め、mwEmbedLoader.phpへ到達できる経路を洗い出します。

Player V7を利用していても、移行前のPlayer V2ファイルが同じサーバーに残っていれば確認対象です。画面上で使っていないことと、攻撃可能なエンドポイントが存在しないことは同じではありません。

更新と暫定措置の優先順位

CERT/CCは、Kalturaが影響を受ける旧Player V2向けに新しいパッチを提供したと記録しています。対象環境は提供元や保守事業者に適用可能な更新を確認し、検証後に反映してください。長期的には、現在サポートされているPlayer V7への移行が推奨されています。

  1. 資産と公開経路を特定する。 対象ファイル、バージョン、公開URL、管理主体を一覧にします。
  2. パッチを適用するかPlayer V7へ移行する。 外部公開されている環境から優先し、適用後に対象パスの応答も確認します。
  3. 未更新期間はアクセスを止める。 利用していないmwEmbedLoader.phpを無効化し、必要な場合もWAFやリバースプロキシで信頼できる接続元に限定します。
  4. 外向き通信を絞る。 アプリケーションサーバーから任意の外部ホストやローカルファイル方式を参照できないよう、通信先と方式を制限します。
  5. 適用結果を検証する。 ファイルを置いただけで終えず、脆弱な入力が拒否されること、旧ファイルが再公開されていないことを確認します。

CERT/CCのベンダー情報欄は、Kalturaから正式な声明を受領していない状態のままです。パッチの入手先や適用条件が管理画面で判別できない場合は、自己判断で出所不明のファイルを導入せず、契約先のサポート窓口へ確認してください。

更新後も侵害確認が必要な理由

更新は将来の悪用を防ぐ処置であり、過去のアクセスを消すものではありません。対象が外部公開されていた場合は、パッチ適用と並行してログとファイルの状態を確認します。

侵害の可能性を否定できない場合は、対象ホストを保全し、ログを退避してから認証情報をローテーションします。先にログや不審ファイルを消すと、侵入経路と影響範囲を追えなくなるためです。広範な侵害が疑われる場合は、組織のインシデント対応手順に従い、必要に応じて外部の専門家へ調査を依頼してください。

筆者の見解

今回の勧告が示したのは、利用画面から消えた旧コンポーネントも、公開経路に残れば攻撃面として働き続けるという運用上の問題です。新機能の導入だけでなく、旧エンドポイントの廃止確認をリリース条件に組み込むことが、再発防止につながります。

一方、CERT/CCが影響範囲と暫定措置を具体化し、旧版向けの修正と現行版への移行を示した点は前向きに評価できます。運用担当者はこの機会に、動画基盤だけでなく、公開中のPHPエンドポイントと保守期限を同じ台帳で管理するとよいでしょう。

よくある質問

Player V7も影響を受けますか

CERT/CCは、現在サポートされているKaltura Player V7は今回の2件の影響を受けないとしています。ただし、同じ環境に旧Player V2のファイルや公開パスが残っていないかは別途確認してください。

実際の攻撃は確認されていますか

今回参照したCERT/CCの脆弱性ノートと研究者の公開資料は、実運用組織への攻撃キャンペーンを報告していません。脆弱性と再現可能な攻撃経路が公表された段階であり、侵害の有無は各環境のログとファイルを調べて判断します。

WAFで対象パスを止めれば十分ですか

対象パスの制限は、更新までの露出を下げる暫定措置です。内部経路や別の公開経路が残る可能性があり、安全でないデシリアライズ自体も直らないため、パッチ適用またはPlayer V7への移行が必要です。

情報源

この記事に関連する株式会社greedenの取り組み

旧式コンポーネントの棚卸しと安全な移行は、動画サービスを止めずに守る実務です。株式会社greedenは、要件整理から設計、実装、テスト、リリース後の保守まで、Webシステム開発を一気通貫で支援します。

モバイルバージョンを終了