Critical Progress MarkLogic Flaws Enable Remote Code Execution and Admin Takeover
2026/10/13 CyberSecurityNews — Progress が公開したのは、MarkLogic Server に存在する複数の脆弱性を修正するための緊急セキュリティ・アップデートである。これらの脆弱性を悪用する攻撃者は権限昇格を達成し、不正な管理者アカウントの作成／サーバー上でのコード実行／認証情報の窃取／保護されたデータへのアクセスなどを引き起こす可能性がある。2026年10月12日に公開されたセキュリティ・アラートには、影響を受けるバージョンとして MarkLogic Server 12.0～12.0.3／11.0～11.3.6 が記載されている。すでに Progress は、修正済みバージョンの MarkLogic Server 12.1／11.3.7 を公開し、これらの問題に対処している。
Progress がサポートを終了したバージョン 10 以前などの MarkLogic Server を使用している組織にも、サポート対象となる修正済みのバージョンへのアップグレードが求められる。これらの旧バージョンについては、脆弱性の影響が十分に評価されておらず、修正プログラムも提供されないためである。
MarkLogic Server で確認された深刻な脆弱性の一つは、権限管理の不備に関連しており、アクセス権限が制限されたユーザーであっても、管理者にのみ許可される操作を実行できる可能性がある。CVE-2026-85947 はフォレスト管理操作に影響する脆弱性であり、管理権限を持つリモート・ユーザーによる悪用が生じると、永続的に悪用可能な管理者アカウントが不正に作成される可能性がある。
Progress MarkLogic Server に複数の脆弱性
2つ目の脆弱性 CVE-2026-85948 は、非推奨となった Management API のパッケージパスに存在する、XQuery インジェクションの欠陥である。この脆弱性を悪用する、manage-user レベルの権限を持つリモート・ユーザーは、管理者権限を永続的に取得する可能性がある。こうした権限昇格の問題は、データベース・プラットフォームへの不正アクセスを、低権限のアカウントから長期にわたって維持する足掛かりになる恐れがある。
3つ目の脆弱性 CVE-2026-85955 は、追加権限を持たないユーザーにより、XQuery の評価関数の呼び出しを引き起こす。Progress によると、昇格した権限でサーバサイドのコードが実行される可能性がある。
4つ目の脆弱性 CVE-2026-85960 も、サーバサイドでのコード実行につながる欠陥である。具体的には、Query Console で使用されるクロスサイト・リクエスト・フォージェリ (CSRF) トークンに対する、攻撃者による予測に起因する。認証済みの Query Console ユーザーが悪意の Web ページを開くと、そのページを介して不正なリクエストが送信され、当該ユーザーの権限でサーバサイドのコードが実行される可能性がある。
今回の脆弱性と類似する問題は、最近になって確認された他の Progress 製品にも存在する。たとえば、Progress OpenEdge AdminServer では、リモート管理機能を通じて、認証済みユーザーが OS コマンドを注入する欠陥が確認されていた。以前にも Cyber Security News は、顧客が管理する環境で複数の脆弱性を連鎖的に悪用する攻撃者が、リモート・コード実行を引き起こす可能性がある Progress ShareFile の脆弱性についても報じている。
今回修正された脆弱性の中には、クラウド・サービスの認証情報の漏えいにつながるものも含まれている。脆弱性 CVE-2026-85951 は、Azure 上に構築された MarkLogic Server 環境に影響する欠陥であり、サーバサイド・リクエスト・フォージェリ (SSRF) 攻撃を可能にする。この脆弱性を悪用する認証済みユーザーが、クラウド内部のサービスにリクエストを送信し、認証情報やトークンを窃取するおそれがある。
CVE-2026-85952 も、Linux システムにおける認証情報漏えいなどのリスクをもたらす。また、Progress は SAML 認証の不備に関する CVE-2026-85962 も修正した。この脆弱性を悪用する未認証のリモート攻撃者は、SAML を使用している環境で、本来は拒否されるべき SAML アサーションを MarkLogic Server に受け入れさせ、不正アクセスを引き起こす可能性がある。
このほかにも、以下のような問題が修正対象に含まれている。
- XML 外部エンティティ (XXE) に関する脆弱性。
- パストラバーサルの脆弱性。
- ログへの機密情報の書き込み。
- TLS 証明書のホスト名検証が安全でない問題。
- 一部のクラスタ管理通信や Amazon S3 との通信において、平文通信が使用される問題。
今回のセキュリティ・アラートには、プロセスのクラッシュ／限定的なメモリ情報の漏えい／データの変更につながる可能性がある、メモリの安全性に関する脆弱性も記載されている。Progress が強く推奨するのは、MarkLogic Server のバージョン 12.0～12.0.3 から 12.1 へのアップグレードである。同様に、11.3.6 以前の 11.x 系バージョンは、11.3.7 にアップグレードする必要がある。なお、Progress Data Cloud の顧客環境には、すでにパッチが適用されているという。
管理者に推奨されるのは、管理者アカウント／フォレスト管理権限／Query Console へのアクセス／REST および XDBC の評価処理経路／認証イベント／診断ログ／予期しない外部への接続の確認である。さらに Progress は、脆弱性の影響を受けるサーバが正常に動作している場合もあると警告しており、侵害の痕跡が確認されない場合であっても、システムが侵害されていないと断定することはできないとしている。
アップグレードに先立ち、管理チームはコンテンツ・データベースとセキュリティ・データベースのバックアップを取得する必要がある。MarkLogic Server はダウングレードをサポートしていないため、アップグレード後に元のバージョンへ戻すことはできない。また、古い MarkLogic Content Pump クライアントも MarkLogic Server 12.1／11.3.7 に対応するバージョンへアップグレードする必要がある。
今回修正された脆弱性は多数に上り、通常の定期的なパッチ適用以上の対応が求められる。したがってユーザー組織は、修正プログラムの適用に際して、外部に公開された管理インターフェイス／高い権限を持つ MarkLogic ユーザー／クラウドに接続された環境／SAML 認証を有効にしている環境を優先する必要がある。
Progress MarkLogic Server における認証や権限管理の不備を原因とする、リモートコード実行や管理者権限の奪取につながる問題が発生し、製品の適切なバージョンアップが求められています。該当する製品ではフォレスト管理操作や非推奨の API を通じた不正な管理者アカウントの作成やサーバサイドでのコード実行のおそれがあるため、ベンダーが公開している修正済みバージョンへの更新が必要です。具体的な脆弱性として CVE-2026-85947／CVE-2026-85948／CVE-2026-85955／CVE-2026-85960／CVE-2026-85951などが確認されており、組織的な対応として修正プログラムの適用やシステム環境の確認が求められます。
You must be logged in to post a comment.