N-Able PassPortal エクステンションの脆弱性 CVE-2026-15580 が FIX：パスワード・ボールト侵害の恐れ

Critical N-Able PassPortal Extension Flaw Gives Attackers Full Password Vault Access

2026/08/21 gbhackers — N-able の PassPortal ブラウザ・エクステンションに存在する深刻な脆弱性 CVE-2026-15580 (CVSS：6.9) を、サイバーセキュリティ研究者が明らかにした。この脆弱性を突く攻撃者は、悪意ある Web サイトまたは埋め込まれた iframe により認証情報を取得し、ユーザーのパスワード保管庫を制御する可能性がある。PassPortal バージョン 3.49.6 未満が影響を受けるが、すでにバージョン 3.49.6 で修正されている。

この欠陥により、最大 100 日間にわたって保管庫へのアクセスを可能にするアクセス・トークン／リフレッシュ・トークンが露出し、73,000 人を超えるアクティブ・ユーザーに影響を及ぼす可能性が生じている。情報開示を受けてから 24 時間以内に、N-able は Chrome／Microsoft Edge 向けエクステンションの修正版を公開した。

N-able PassPortal エクステンションの脆弱性

問題の根本原因は、PassPortal のコンテンツ・スクリプトと、パスワード候補の表示に使用されるエクステンション側でホストされた iframe の間に存在する、安全ではないコンテキスト間通信にある。

コンテンツ・スクリプトは、ページのメイン実行環境で “window.postMessage” イベントを受信し、送信元のオリジンを検証せずに要求されたメソッドを信頼している。したがって、ログイン済みユーザーが訪問した任意のページにおいて、機密性の高いセッション・データを要求する攻撃者が、その応答を取得できる状態にある。攻撃者が PassPortal サービス自体を侵害する必要はなく、攻撃者が管理するコンテンツへユーザーを誘導するだけで、情報露出を引き起こす可能性がある。

研究者によると、返される情報にはアクセス・トークン／リフレッシュ・トークンが含まれており、リフレッシュ・トークンを悪用する攻撃者は、有効期間の短いアクセス・トークンが失効した後も継続的なアクセスが可能となる。

この PassPortal のアーキテクチャにより、脆弱性の影響はさらに拡大した。開示された情報によると、パスワードおよび Time-Based One-Time Password (TOTP) の復号は、顧客のデバイス上だけではなく、サーバー側で実行される。そのため、このエクステンションにより、認証情報／TOTP コードのリクエストに加えて、鍵関連情報も提供される。研究者が発見したものには、JWT アクセス・トークン内にエンコードされた組織キー・データとフレーズもある。

JSON Web Token (JWT) は完全性を保護するが、その内容自体を本質的に秘匿するものではないため、機密性の高い情報が露出することは、きわめて懸念される事態である。窃取されたトークンが、保管庫内のレコードの列挙／復号済みパスワードや有効な TOTP 値の取得／セッションの更新などに悪用され、リソースへのアクセスに至る可能性がある。その結果として、影響を受けるボールト全体に対して CRUD (作成／読み取り／更新／削除) 操作が可能となる。

Am I Being Pwned の研究者は、自動処理によって潜在的に危険なメッセージ通信のパターンを特定し、2026年7月6日に N-able に連絡した。この問題に対する N-able の対応は極めて迅速であり、7月8日にテスト・アカウントを提供して脆弱性の検証と詳細な報告書の提出を可能にし、7月9日には修正版を Chrome Web Store／Microsoft Edge Add-ons で提供した。

修正後のメッセージ・ハンドラーは、エクステンションのオリジンを算出し、未検証のオリジンからのメッセージを拒否する。それに加えて、送信元が信頼済みフレームであることを確認し、機密性の高いメソッドを呼び出す前に nonce を検証するよう修正されている。これらの制御により、任意の Web サイトやページ側で制御される iframe による、エクステンションの特権メッセージ・チャネルの悪用が防止される。

このインシデントが示すのは、認証情報を扱うブラウザ・エクステンションにおいて、信頼できない Web コンテンツから特権機能を厳格に分離することの重要性である。オリジン検証は重要な即時対策だが、攻撃対象領域を最小化する設計に代わるものではない。研究者が推奨するのは、”window.postMessage” 通信を Chrome／Edge のエクステンションのメッセージング機構へ置き換え、Web ページから内部チャネルへのアクセスが不能になるよう設定することだ。

また、研究者が N-able に求めているのは、エンドツーエンド暗号化の採用と長期的な再設計である。この設計ではクライアント側で復号を実行し、サービス基盤が平文の保管庫データを再構築するための情報を受け取らないようにすることが目的となる。管理者にとって優先すべきなのは、直ちに更新した上で、エクステンションのバージョンを確認し、不審な保管庫の活動を速やかに監視することである。

パスワード管理ツール N-able PassPortal のブラウザ・エクステンションにおいて、クロス・コンテキスト通信時の送信元の検証不足に起因する重大な不具合が判明しました。攻撃者が用意した Web ページや iframe を経由し、エクステンションのメッセージ制御機構が悪用される構造です。この影響により、最長 100 日間有効なセッション用トークンが外部へ露出する危険がありました。トークンを奪取されると、保管庫内データの閲覧や改ざん、TOTP コードの不正取得といった不正操作へ直結します。運用環境における被害を防ぐ対応策として、拡張機能のバージョン 3.49.6 への速やかな更新／最新化状態の確認／不審な保管庫アクセスログの監視が強力に求められます。