Cleo Harmony の脆弱性 CVE-2026-84115 が FIX：JWT リフレッシュ・トークンを介した深刻な権限昇格

Cleo Harmony Flaw Lets Remote Attackers Escalate Privileges via JWT Refresh Token

2026/09/02 CyberSecurityNews — 広く導入されているマネージド・ファイル・トランスファー／統合プラットフォーム Cleo Harmony の脆弱性 CVE-2026-84115 (CVSS：8.3 High) がセキュリティ研究者により公表された。この脆弱性は Cleo Harmony バージョン 5.8.1.10 以下の全ビルドに影響し、ソフトウェアの JWT リフレッシュ・トークンを細工することで、リモートの攻撃者が権限を昇格させる可能性があるため、エンタープライズ・ネットワークにリスクが生じている。すでに実証可能なエクスプロイトが公開されていることから、組織には迅速な対応が求められる。

この脆弱性は JWT Refresh Token Handler コンポーネント内で “/api/connections” エンドポイントに関与する特定されていない関数に存在し、HTTP Authorization ヘッダーで渡される Bearer トークンが不適切に処理されることが問題の核心である。攻撃者は悪意のある Bearer トークンを作成することでアプリケーションを欺き、本来のセッションに付与されていない権限へ昇格する可能性がある。

Cleo Harmony の脆弱性

セキュリティアナリストは、この脆弱性を CWE-269 (Improper Privilege Management) に分類しており、Cleo Harmony は認証トークンを更新する際に、ロールベースのアクセス境界を適切に適用できていない。この脆弱性が特に危険なのはリモートから悪用できる点であり、VulDB の脆弱性アドバイザリ に記載されているように、細工された HTTP リクエストを介してネットワーク経由で一連の攻撃を実行できるため、ローカルシステムへのアクセスや物理的な近接を必要とせず、一部の悪用経路では有効な認証情報さえ必要とされない。

公開された概念実証 (PoC) を利用できることから、機会主義的な攻撃者がインターネットに公開された Cleo Harmony インスタンスをスキャンし、わずかな労力で権限昇格を試みるという現実的な脅威に、防御側は直面している。悪用に成功した攻撃者は管理者レベルでプラットフォームを制御でき、高機密性のファイル転送データへのアクセスに加え、Harmony と他の業務システムを接続する統合ワークフローの操作も可能になる。

脅威インテリジェンスの観点では、この脆弱性は MITRE ATT&CK フレームワークにおけるトークン操作に関連する手法と類似した特徴を持ち、一般的に攻撃者は不正な Bearer トークンの偽造やリプレイなどによって、本来のリフレッシュ・トークン検証ロジックを回避する。このような攻撃によって不正な権限によるアクセスを維持できるほか、Harmony が他の接続環境と統合されている場合には、そこへの横展開も可能になる。

すでに Cleo はバージョン 5.8.1.11 をリリースし、JWT Refresh Token Handler 内の権限管理ロジックを修正してこの問題に対処しているため、バージョン 5.8.1.10 以下を実行している組織では、このパッチを優先的に適用すべきである。

直ちにアップグレードできないチームでは、暫定的な緩和策として、API リクエストに対する厳格な入力検証の適用／WAF ルールの導入による疑わしい Bearer トークンのパターンの検査とフラグ付け／”/api/connections” エンドポイントを標的とする異常なアクティビティに対するアクセスログの監視などを実施する必要がある。

過去にも、Cleo では影響の大きい脆弱性が確認されており、その中には 2024 年末に実環境で積極的に悪用されたファイル・アップロードの脆弱性 CVE-2024-50623 も含まれる。このように過去の脆弱性が実際の攻撃に利用された経緯を踏まえると、今回の脆弱性についても大規模な攻撃に悪用される前に対処することが重要であり、最も確実な対策はバージョン 5.8.1.11 を迅速に適用することである。

紹介した記事では Cleo Harmony における JWT リフレッシュトークンの不適切な処理に起因する脆弱性 CVE-2026-84115 が解説されています。本製品を未対策のまま運用すると、不正な Bearer トークンを用いるリモート攻撃者が、管理者権限へ昇格するリスクが生じます。この問題による影響は機密ファイル転送データへの不正アクセス／統合ワークフローの操作／他システムへの横展開などです。対応策としては修正済みバージョン 5.8.1.11 への迅速な更新／WAF による疑わしいトークンの検査／アクセスログの監視などが推奨されます。