Metaのカスタマーサポート基盤に存在した重大なアクセス制御不備により、攻撃者が他のユーザーの非公開のサポートメール、チャット、案件データを閲覧できるほか、そのユーザーに成りすましてサポートの業務フローを操作できる状態になっていました。
この脆弱性を発見したのは独立系研究者のRony K Roy氏です。Metaは同氏の報告に対して78,000米ドルの報奨金を支払い、2026年4月までに修正を完了しました。
脆弱性の発端は、組織がMeta Questデバイスやユーザーを管理するために利用する企業向けプラットフォーム「Meta Horizon Managed Solutions」にありました。
検証の過程で、サポート関連の複数のGraphQL操作が、本来サポート機能へのアクセスに必要な権限をリクエストユーザーが持たない場合でもデータを返してしまうことが判明し、サポートスタック全体に及ぶより深刻な認可の問題が浮かび上がりました。
当初は特定製品固有のバグに見えたものの、最終的にはMeta.comのサポートメール、サポート案件、そして同じ基盤上に構築されたカスタマーサポートチャット機能全般に影響を及ぼすことが明らかになりました。
セキュリティ分類の観点では、この脆弱性は安全でない直接オブジェクト参照(Insecure Direct Object Reference、CWE-639)、アクセス制御の不備(Broken Access Control、CWE-284)、そして認可の欠如(Missing Authorization、CWE-862)に該当し、オブジェクトレベルとワークフローレベルの両方で権限チェックの抜け穴があったことを示しています。
攻撃者は、顧客とMetaサポートとの間のやり取りを含むMeta.comのサポートメール、案件のメタデータ、社内向けの要約情報にアクセスできました。
カスタマーサポートのチャット記録も同様に閲覧可能で、サポート依頼に関連する案件メモ、エスカレーションの詳細、添付ファイルも対象に含まれていました。
氏名、メールアドレス、電話番号など、サポートでのやり取りの中で任意に共有された個人情報も大量に収集できる状態にあり、該当案件に紐づくMetaサポートからの返信・更新情報などのやり取りにも同様にアクセスできました。
WhiteAuthの報告によると、複数のサポート機能は共通のバックエンドサービスと共通の信頼前提に依存しており、その一部はSalesforceベースのワークフローやデータモデルと連携していました。ただし問題はSalesforce自体ではなく、Meta側の実装にありました。
これらの共有コンポーネント全体で認可チェックの実装が一貫しておらず、同じ脆弱性がMeta.comのサポートメール、サポート案件、チャットワークフロー、関連する社内サポート情報に共通して現れる結果となりました。
状況をさらに悪化させたのが、連番になっていたサポート案件のIDです。これにより案件の列挙が容易になり、攻撃者はIDを順に試すだけで本来保護されているはずの大量のサポート依頼情報を取得できました。
この問題は2026年1月にMetaへ最初に報告された時点では、Horizon Managed Solutionsを中心とした比較的限定的な影響として評価されていました。
その後の調査で複数の事業領域にまたがる、より広範な影響があることが判明し、深刻度は大幅に引き上げられました。Metaは2026年4月までに影響を受けたシステム全体の修正を完了し、この脆弱性が悪用された痕跡は確認されていないとしています。
今回の公開レポートは修正完了後に公表されたもので、再現や悪用を防ぐため、悪用手法の詳細やPoC(概念実証)コード、一部未確認の観察内容については意図的に記載を控えています。
SOC調査の死角を減らし、脅威をより早い段階で封じ込めることで、ANY.RUNを使って対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/critical-meta-idor-flaw/
