Strapi脆弱性CVE-2023-22894——悪用確認、情報漏えいに注意

公開日：2026年10月30日文：クリスタルメソッド編集部監修：河合継（代表取締役）

CVE-2023-22894とは——Strapiで何が起きるか

2023年4月19日、オープンソースのヘッドレスCMSであるStrapiに、機密情報の不適切な取り扱いに関する脆弱性が公開された。識別子はCVE-2023-22894。CVE公式レコード（cve.org）およびNVDに記録されており、CVSSv3.1スコアは7.2（HIGH）と評価されている（評価者: CISA-ADP、ベクター: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H、出典: CVE-2023-22894公式レコード）。

この脆弱性の核心は、管理パネルへのアクセス権を持つ攻撃者が、クエリフィルタを悪用して機密なユーザー情報を発見できる点にある。CVE公式レコードに基づき、確認されている経路は次のとおりだ。

スーパー管理者権限を持つ攻撃者は、全ユーザーのパスワードハッシュおよびパスワードリセットトークンを取得できる。
EditorやAuthorなど低権限ロールのAPIユーザーを閲覧できる権限を持つ管理パネルアカウントを奪取した攻撃者は、全APIユーザーのユーザー名・メールアドレスを含む機密情報を取得できる（他の管理者アカウントの情報は対象外）。

攻撃者は機密情報を含むカラムを条件としてユーザーをフィルタリングし、APIレスポンスから値を推測する手法を取ると説明されている。

ほかにどんな組織で情報漏えいが起きているかは、AIハッキングによる情報漏洩の主な被害一覧で説明しています。

関連記事AIによる情報漏洩とは？生成AIで漏れる原因は？

CISA KEV掲載が示す深刻度——CVE-2023-22894が単なる「公開済みCVE」と異なる理由

この脆弱性が日本の運用担当者にとって特に注視すべき理由は、2026年10月8日に米CISAの「既知の悪用脆弱性カタログ（KEV）」に追加されたことにある（出典: CISA Known Exploited Vulnerabilities Catalog）。KEVへの掲載は「実際の攻撃での悪用が確認された」ことを意味する。理論上の脆弱性ではなく、現実の攻撃に使われた記録を持つ。

CISAはKEVに掲載した脆弱性に対し、米連邦行政機関に対処期限を設けている。本件では2026年10月11日が期限とされた。これは米国の連邦機関向けの義務であり、日本企業に法的な義務が生じるものではない。ただし、KEV掲載という事実は、対処の優先順位を引き上げる根拠として広く参照されている。

CISAが示した必要な対処の要旨はベンダーの指示に従ったリスク軽減策の適用であり、インターネット公開状況を評価した上で、軽減策が取れない場合は製品の使用中断を検討することが明記されている。加えて「BOD 26-04」および「Forensics Triage Requirements」への準拠が求められている（原文: 「Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04」）。

FIRST EPSSによる悪用確率の統計的推定値は約4.1%（パーセンタイル約90.8%、2026年10月29日時点）と算出されている。EPSSはあくまで確率の統計的推定であり、悪用されると断定するものではない。ただし、パーセンタイル約90.8%という位置は、公開済みCVE全体の中で相対的に上位に位置することを示しており、優先対処の判断材料として参照できる。

CISAのKEV記録には、この脆弱性を別の脆弱性と組み合わせるとリモートコード実行に至りうること、また対象製品がサポート終了（EoL/EoS）の可能性があり、サポート対象のバージョンへの移行が勧められていることも記されている。ランサムウェアとの関連についてCISAのKEV記録は「Unknown（不明）」としており、現時点で関連が確認されているわけでも、否定されているわけでもない。

次に読む：AIセキュリティ対策とは？企業が知るべきリスクは？

AIセキュリティ対策とは？企業が知るべきリスクと今すぐできる対策【2026年】

CVE-2023-22894の影響バージョンと確認のポイント

CVE公式記録に記載された対象は、Strapi 4.5.5以前のバージョンである。

配布パッケージとして利用している場合は、上流（本家）の版番号と比較するのではなく、配布元ベンダーの告知に基づく修正版で判断する必要がある。

CVE公式記録には修正版・回避策の記載がない。一方、Strapi公式の脆弱性開示（2023年4月）とGitHubのセキュリティアドバイザリは、修正版をバージョン4.8.0としている。なお、CVE公式記録の影響範囲は「4.5.5以前」、GitHubアドバイザリは「4.8.0未満」と書き方が異なるため、4.8.0より前のバージョンは更新対象と考えるのが安全である。公式の回避策は確認できていない。

CVE-2023-22894 主要情報まとめ
項目	内容
CVE ID	CVE-2023-22894
公開日	2023年4月19日（最終更新: 2026年10月9日）
CVSSv3.1スコア（CISA-ADP評価）	7.2（HIGH）
CVSSベクター	AV:N / AC:L / PR:H / UI:N / S:U / C:H / I:H / A:H
影響を受けるバージョン	Strapi 4.5.5以前（CVE公式レコード記載）
CISA KEV追加日	2026年10月8日
CISA対処期限（米連邦機関向け）	2026年10月11日
ランサムウェアとの関連（CISA記録）	Unknown（不明）
EPSS推定悪用確率	約4.1%（パーセンタイル約90.8%、2026年10月29日時点）
公式修正・回避策	Strapi 4.8.0で修正（Strapi公式の脆弱性開示）。公式の回避策は未確認