Better Auth脆弱性CVE-2026-121802——未認証アカウント乗っ取りの危険

CVE-2026-121802とは——Better Auth拡張に発見された脆弱性の要点

2026年11月4日、認証ライブラリ「Better Auth」の拡張パッケージ @better-auth/expo に深刻な脆弱性が確認され、CVE番号「CVE-2026-121802」として正式に採番・公開された（出典：CVE公式記録 — cve.org）。

CVSS 3.1スコアは9.1（CRITICAL）と評価されており、ネットワーク越しに認証なしで攻撃が成立し得るという特性を持つ。（評価者: mitre、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N）。弱点の種類はCWE-346（Origin Validation Error：送信元の検証の欠如）に分類される。認証フローにおいて、リクエストの正当性を確かめる仕組みが不十分なために生じる問題である。

関連記事payeverの未認証RCE、どう対処する？ ／ RHOAIの認可欠陥、他テナントのAPIキー流用は？

Better Auth脆弱性CVE-2026-121802が意味すること——なぜ深刻か

この脆弱性の核心は、認証フローにおけるstate値の発行元検証を省略している点にある。OAuth 2.0をはじめとした認証プロトコルでは、state値はCSRF対策のためにサーバーが生成・発行し、クライアントがそれを返送することで正規のフローであることを確認する。しかし @better-auth/expo の1.7.16未満は、受け取ったstate値がサーバー自身の発行によるものかを確認せず、そのまま署名してしまう。

この欠陥が意味することは大きい。ログイン済みセッションを持たない第三者が、任意の対象アカウントのメールアドレスを書き換える操作を行える可能性がある。メールアドレスはパスワードリセットの宛先でもあるため、これを変更されることはアカウントの完全な乗っ取りに直結し得る。

CVSS評価における「特権不要（PR:N）」「ユーザー操作不要（UI:N）」「攻撃複雑度：低（AC:L）」という組み合わせは、技術的なハードルが低いまま攻撃が成立し得ることを示している。スコア9.1はCRITICAL帯である。

なお、CISA KEV（Known Exploited Vulnerabilities Catalog）への掲載は確認されていない（出典：CVE公式記録）。

CVE-2026-121802の影響バージョンと対応方針の整理

CVE公式記録によれば、影響を受けるバージョンは以下のとおりである。対象となるのはExpo向け拡張パッケージ @better-auth/expo であり、Better Authのコアパッケージとは異なる点に注意が必要だ。

表1: CVE-2026-121802の影響バージョンと対応状況

パッケージ	影響を受けるバージョン	対応	備考
@better-auth/expo	0以上〜1.7.16未満	1.7.16以上へ更新	更新後にシークレットのローテーションが必要
@better-auth/expo	1.7.16以上	対象外（unaffected）	—

CVE説明には更新以外の公式な回避策の記載はなく、更新後にアプリケーションのシークレットをローテーションすることが明示されている。

Better Auth脆弱性CVE-2026-121802——今取るべき対応3点

対応として押さえるべき点は次の3点に絞られる。

1. バージョン確認と更新：@better-auth/expo を使用している場合、1.7.16以上への更新を行う。
2. シークレットのローテーション：更新後、アプリケーションのシークレット（セッション署名に使用する鍵等）をローテーションする。これはCVE説明に明示された対応であり、更新だけでは完結しない。
3. 公式回避策の確認：修正版への更新が即座にできない場合は、ベンダーの公式告知を参照する。現時点のCVE記録には更新以外の公式な回避策の記載はない。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

〈参考文献〉

• CVE公式記録 — CVE-2026-121802：https://www.cve.org/CVERecord?id=CVE-2026-121802
• NVD（National Vulnerability Database）— CVE-2026-121802：https://nvd.nist.gov/vuln/detail/CVE-2026-121802