Progress MarkLogic Serverに深刻な脆弱性、コード実行や権限昇格の恐れ

Progressは、MarkLogic Serverに31件の脆弱性があることを公表しました。悪用されると、権限昇格、サーバーサイドでのコード実行、認証バイパス、認証情報の漏えい、データの侵害につながる恐れがあります。

2026年10月12日付のセキュリティ情報で、同社は利用者にアップデートの適用を強く求めています。影響を受けるインスタンスは、悪用の兆候が事前にまったく見られず、正常に動作しているように見える場合があると警告しています。

このセキュリティ情報の対象は、MarkLogic Serverのバージョン12.0～12.0.3および11.0～11.3.6です。各脆弱性の影響は、プラットフォーム、有効化されている機能、設定によって異なります。

Progressは、修正済みのリリースとしてMarkLogic Serverのバージョン12.1および11.3.7を挙げています。バージョン10以前を含むサポート終了版については、十分な評価を行っておらず、修正も提供しません。

Progress MarkLogic Serverの脆弱性

複数の脆弱性が、認可の境界を突破します。CVE-2026-85947では、フォレスト管理権限を持つ攻撃者が、永続的で不正な管理者アカウントを作成できます。

CVE-2026-85948は、非推奨となったManagement APIのパッケージパスに存在するXQueryインジェクションの脆弱性です。manage-userレベルの権限を持つ攻撃者が、永続的な管理者権限を得る可能性があります。

CVE-2026-85955では、クエリ実行権限を持つリモートの攻撃者が、本来必要な追加権限なしにXQuery評価関数を呼び出せます。その結果、昇格した権限でサーバーサイドのコードが実行される恐れがあります。

同様に、CVE-2026-85954では、一部の高階XQuery関数に送信された攻撃者制御の値が、特権的なセキュリティコンテキストで評価されます。

Cybersecurityconsulting

Query Consoleにも、別の実行経路があります。CVE-2026-85960は、予測可能なクロスサイトリクエストフォージェリ（CSRF）トークンに関する脆弱性です。攻撃者は認証済みユーザーを悪意あるページに誘導し、不正なリクエストを送信させて、そのユーザーの権限でコードを実行できます。

これらのシナリオには特定の前提条件が必要です。セキュリティ情報は、すべてのコード実行の問題が認証不要のリモートからの悪用に該当するとは位置づけていません。

CVE-2026-85962はSAML認証に影響し、認証されていないリモートの攻撃者が、本来拒否されるべきアサーションを送信できる恐れがあります。CVE-2026-85958は無効な認証トークンを受け入れてしまう問題です。CVE-2026-9191では、評価されたユーザーコードがHTTPのリクエスト、レスポンス、セッションの状態から十分に分離されていません。

クラウド環境では、サーバーサイドリクエストフォージェリ（SSRF）の脆弱性が問題となります。AzureではCVE-2026-85951、影響を受けるLinuxインストールではCVE-2026-85952が該当します。認証済みの攻撃者が内部のクラウドサービスにアクセスし、認証情報やトークンを取得する可能性があります。

このほかにも、XML外部エンティティ処理の問題、サーバー上の任意ファイルの開示、ログへの機密情報の漏えい、認証に対する監査の不備などの脆弱性があります。

メモリ関連の欠陥はJavaScript統合に影響し、use-after-free、境界外読み取り、境界外書き込みを引き起こす恐れがあります。公表されている影響には、動作の不安定化、メモリリーク、限定的なデータ改ざんが含まれます。

Progressは、影響を受ける利用者に対し、バージョン12.1または11.3.7へのアップグレードを推奨しています。サポート終了版の利用者は、サポート対象の修正済みリリースへ移行する必要があります。Data Cloudの環境には、すでにパッチが適用されています。

管理者は、導入前に互換性に関するドキュメントを確認してください。セキュリティ上の変更が、API、必要権限、認証、ログ、XML解析、通信動作に影響する場合があるためです。Progressのドキュメントは、アプリケーションの互換性問題を招きかねない製品変更を明示しています。

旧バージョンのMarkLogic Content Pumpクライアントは、修正済みのサーバーのバージョンと一致させる必要があります。また、RPMベースでカスタムインストールしたLinux環境では、同梱されるクラウドメタデータを保護するためにcurlも必要です。

既存のログ権限については、別途対処が求められます。監査証跡がないからといって、悪用がなかったとは言い切れません。正常に動作しているように見えても、脆弱性が悪用されていないという保証にはなりません。

CVE詳細一覧

新種のマルウェアが登場したら、すぐに防御を更新しましょう。1万6,000のSOCのデータを活用したTIフィードを統合。