ONLYOFFICE Docsに重大欠陥CVE-2021-3199——悪用確認済み、更新を

公開日：2026年10月30日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2021-3199とは——ONLYOFFICE Docsに潜む遠隔コード実行の経路

CISAは2026年10月8日、ONLYOFFICE Document Serverの脆弱性CVE-2021-3199をKEVカタログに追加した。CVE自体は2021年1月22日に公開された古い脆弱性で、今回あらためて悪用が確認された。CISA-ADPによるCVSS 3.1スコアは9.8（CRITICAL）であり、攻撃者に対してネットワーク越しの遠隔コード実行（Remote Code Execution）を許す可能性がある（出典：cve.org / CVE-2021-3199）。

問題の核心は/uploadエンドポイントにある。JWTが使用されている環境において、画像アップロードのパラメータに /.. シーケンスを埋め込むことでディレクトリトラバーサルが成立する。CVE公式記録は、これが遠隔からのコード実行（RCE）につながり得ると記している。

CVSS 3.1のベクトルは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H であり、このベクトルが示すのは「ネットワーク経由・攻撃複雑度低・認証不要・ユーザー操作不要」という組み合わせだ。CISA-ADPによる評価では機密性・完全性・可用性のいずれへの影響もHighとされている（出典：cve.org / CVE-2021-3199）。認証なしでインターネット越しに攻撃が完結しうるという構造が、このスコアを9.8まで押し上げている本質的な理由だ。

図1：CVE-2021-3199の攻撃経路。/uploadエンドポイントへの細工されたリクエストがディレクトリトラバーサルを引き起こし、遠隔コード実行に至る流れを示す。認証なしでネットワーク越しに攻撃が完結しうる点が深刻さの核心にある。

CISAのKEV掲載が意味すること——「理論上の脅威」ではない現実

CVE-2021-3199が単なる研究上の発見にとどまらない理由は、CISAのKnown Exploited Vulnerabilities（KEV）カタログへの掲載にある。KEVは「実際の攻撃での悪用が確認された」脆弱性を収録するリストである。ただし、自社の環境が実際に影響を受けるとは限らない（出典：CISA / Known Exploited Vulnerabilities Catalog）。

CVE-2021-3199のKEV掲載日は2026年10月8日、対処期限は2026年10月11日と設定された。CISAが示した必要な対処の骨子は「ベンダーの指示に従って緩和策を適用し、BOD 26-04のガイダンスおよびCISAの『Forensics Triage Requirements』に準拠すること。クラウドサービスについては適用可能なBOD 26-04のガイダンスに従うか、緩和策が入手できない場合は製品の使用を中止すること。各組織は資産のインターネット露出を評価し、BOD 26-04のパッチ適用ガイドラインへの準拠を確認する責任を負う」である。この期限はCISAの管轄である米国連邦機関向けの義務であり、日本企業への直接的な法的拘束力はない。しかし、KEV掲載という事実そのものが自組織の対応判断において重みを持つ。

FIRSTが算出するEPSS（Exploit Prediction Scoring System）は2026年10月29日時点で0.30244（パーセンタイル：0.98217）を示している。EPSSはあくまで統計的推定であり「悪用される」と断定するものではないが、パーセンタイルが98%超であることは、既知の脆弱性全体と比較したときの相対的な位置を示している（出典：FIRST EPSS）。

CISAの期限は米連邦機関向けで、日本企業の法的義務ではない。ただし、悪用が確認された脆弱性かどうかを見分ける材料になる。

次に読む：AIハッキングの情報漏洩、主な被害一覧は？

AIハッキングで情報漏洩が相次ぐ？日本・世界の主な被害一覧【2026年7〜10月】

Docs脆弱性CVE-2021-3199の影響範囲——対象バージョン

CVE公式記録上、CVE-2021-3199の対象バージョンは明記されていない（affected: n/a）。CVE説明文には「ONLYOFFICE Document Serverの5.6.3より前のバージョン」で発生すると書かれている。これは説明文の記載で、affectedフィールドでは特定されていない。なお、ONLYOFFICE Document Serverの公式更新履歴（CHANGELOG）には、5.6.3で画像アップロードのパラメータ経由のパストラバーサルを修正したと記載されている。自組織の環境で稼働しているバージョンの確認が、対応の第一歩となる。

版番号の確認にあたっては注意が必要だ。DockerイメージやLinuxディストリビューションのパッケージとして配布されている場合、上流（本家）の版番号とパッケージの版番号が一致しないことがある。自組織の環境で何を使って展開したかを踏まえ、その配布元のベンダー告知を参照して修正状況を確認することが適切だ。本記事では、配布パッケージの具体的な修正版番号については確証が持てないため断定しない。

CVE説明では、JWTが使用されている場合に発生するとされている。JWTを使っていない場合に影響を受けないかどうかは、ベンダーの公式告知で確認できていない。

自社が対象か判断がつかない場合は、お使いの製品と版の情報をお送りいただければ、公式情報をもとに対象かどうかの目安をお伝えします（無料相談）。

対処と期限

修正版へ更新する：ONLYOFFICE Document Server 5.6.3以降（公式CHANGELOG）。Dockerイメージやパッケージは配布元の告知で修正状況を確認する。
公式の回避策：確認できていない。
CISAの対処期限：2026年10月11日（米連邦機関向けで、日本企業への法的義務ではない）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

〈参考文献〉