今回の話を一言でいうと、Webサイトを動かすCMSに「サーバーを勝手に乗っ取られる」クラスの穴が見つかり、しかも修正後すぐ現実の攻撃で使われ始めた、ということです。
MetInfoはオープンソースのCMSです。CMSは、専門知識がなくてもWebサイトを作ったり更新したりしやすくする仕組みで、WordPressの仲間みたいなものだと思うとわかりやすいです。便利な反面、広く使われるほど攻撃者の標的にもなりやすい。ここは毎回のように出てくる、いやらしい現実です。
今回の脆弱性はCVE-2026-29014。CVSSスコアは9.8で、かなり危険度が高い部類です。
しかもポイントは、認証なしで悪用できること。つまり、ログインできなくても攻撃できる可能性がある、というのが怖いところです。
NVD（NISTの脆弱性データベース）による説明では、MetInfo CMSの7.9、8.0、8.1に、unauthenticated PHP code injection vulnerability があるとされています。
これをかみ砕くと、
という意味です。
ここで怖いのは、RCEが成立すると、単なるページ改ざんでは済まない場合があることです。サーバー内のファイルを読まれたり、マルウェアを置かれたり、他のシステムへの足がかりにされたりする可能性があります。
個人的には、「Webサイトの不具合」より一段重い、インフラ事故寄りの話だと思っています。
脆弱性を発見した研究者 Egidio Romano によると、問題は
/app/system/weixin/include/class/weixinreply.class.php
にあり、Weixin（WeChat）APIリクエストを送る際に、ユーザー入力のサニタイズが不十分だったことが原因だそうです。
サニタイズというのは、ざっくり言うと入力された文字列から危険なものを無害化する処理です。
たとえば、攻撃コードっぽい文字列が入ってきても、そのまま実行されないようにする“防波堤”のようなものです。
今回はその防波堤が弱く、細工されたリクエストを送ることで任意のPHPコードを実行できる状態だったわけです。これはかなり素直に危ないです。変な言い方ですが、攻撃者にとっては「親切すぎる入口」になっていたとも言えます。
記事によると、MetInfoがWindows以外のサーバーで動いている場合、成功のための前提条件として、/cache/weixin/ ディレクトリが事前に存在している必要があるそうです。
このディレクトリは、公式WeChatプラグインをインストール・設定したときに作られるとのこと。
つまり、WeChat連携を使っている環境では、攻撃の条件が整いやすい可能性があります。
とはいえ、こういう「条件が必要な脆弱性」でも油断は禁物です。実運用環境では、プラグインの導入やキャッシュ用ディレクトリの存在など、攻撃に必要な材料が意外と揃ってしまうことがあるからです。現場あるあるですが、こういう“ちょっとした前提”が本番では一番厄介だったりします。
MetInfo側は2026年4月7日に修正パッチを出しました。
ただし、VulnCheckによると、この脆弱性は4月25日ごろから実際に悪用され始めたとされています。
最初は、
だったものの、5月1日には攻撃が増加。狙いは中国と香港のIPアドレスに向いていたそうです。
ここで面白いのは、というか不気味なのは、パッチが出てから攻撃が本格化するまでがかなり早いことです。
「修正されたからひとまず安心」ではなく、修正された瞬間から、未更新のサーバーが一斉に狙われるのが今の現実です。セキュリティ担当者にとっては、パッチ公開はゴールではなく、むしろ“本当の忙しさの始まり”だと思います。
VulnCheckのCaitlin Condon氏によると、インターネット上でアクセス可能なMetInfo CMSは最大約2,000件あるとのことです。しかも、その多くは中国にあるようです。
2,000という数字は、超巨大サービスから見れば小さく感じるかもしれません。ですが、攻撃者の目線では話が別です。
「狙えるサーバーが2,000台ある」というのは、十分にうれしい獲物です。特に、RCEのような強力な脆弱性なら、スキャンして片っ端から当てにいく価値があります。
この件で一番大事なのは、単に「また脆弱性が見つかった」ではなく、すでに悪用が始まっていることです。
脆弱性は見つかるだけならまだ間に合うこともあります。
でも、実際に攻撃に使われているとなると、状況は一気に変わります。未更新のまま公開しているサーバーは、かなり危ない段階に入っていると考えたほうがいいでしょう。
個人的には、この手のニュースを見るたびに思うのですが、CMSは便利さの裏で“更新をサボった瞬間に危険度が跳ね上がる”世界です。Web担当者や運用担当者からすると面倒でも、パッチ適用を後回しにしない運用がやっぱり命綱だと思います。
もしMetInfo CMSを使っているなら、まず確認したいのは次のあたりです。
/cache/weixin/ 周辺に不審なファイルがないかまた、すでに公開環境で動いているなら、パッチ適用だけでなく、不審な改ざんや侵入の痕跡確認も大事です。RCE系は「更新したから終わり」では済まないことがあります。攻撃後に何を置かれたかまで確認しないと、後からじわじわ効いてくる場合があるからです。
MetInfo CMSのCVE-2026-29014は、未認証でPHPコードを注入できる重大な脆弱性で、条件が揃うとRCEに直結します。
しかも、パッチ公開後すぐに実戦で悪用され、すでに攻撃の動きが観測されています。
Webサイト運用では、こういう“CMSの穴”が本当に怖いです。
見た目はただの管理画面でも、裏側ではサーバーそのものが狙われている。今回の件は、その事実をあらためて突きつけるニュースだと思います。
参考: MetInfo CMS CVE-2026-29014 Exploited for Remote Code Execution Attacks