公表された内容
JVNは2026年8月19日、エクストライノベーション株式会社が提供するacmailerに複数の脆弱性が存在することを公表しました（JVN#47716829）。acmailerは、自社のサーバへ設置して使うメール配信用のツールです。開発元はCGI版について「無料で使えるメール配信CGI」と説明しており、別途DB版も提供されています。今回の公表はCGI版とDB版の両方が対象です。 フォーム付きの登録機能も備えています。対象は、acmailer CGIのver.4.1.2より前のバージョン、およびacmailer DBのver.1.2.2より前のバージョンです。
公表されている脆弱性は次の2件です。
横にスクロールして確認できます
| CVE | 種別 | CVSS 4.0 | CVSS 3.0 | 想定される影響 |
|---|---|---|---|---|
| CVE-2026-70408 | 認可処理の不備（CWE-863） | 8.7 | 8.8 | サブアカウントユーザーによって、管理権限を持つサブアカウントが作成される |
| CVE-2026-66358 | クロスサイトスクリプティング（CWE-79） | 5.1 | 6.1 | 当該製品を使用しているユーザーのウェブブラウザ上で、任意のスクリプトが実行される |
対策は、開発者が提供する情報をもとに最新版へアップデートすることとされています。この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づいてIPAへ報告され、JPCERT/CCが開発者との調整を行ったものです。
EMERGENCY RESPONSE
この脆弱性、貴社システムは影響を受けますか？
影響範囲の一次評価を無料で実施。致命的脆弱性は24時間以内にアラートし、パッチ適用・恒久対応まで伴走します。
深刻度の意味を業務の言葉に置き換える
CVE-2026-70408の内容は、「サブアカウントの利用者が、管理権限を持つサブアカウントを作れてしまう」というものです。技術的な説明としてはこれで正確ですが、経営判断としては次のように読み替えます。
メール配信の仕組みでは、部署ごとや担当者ごとに限定的な権限のアカウントを配ることがあります。例えば、営業部門は営業向けのリストにだけ配信できる、といった設定です。この脆弱性は、そうした限定的な権限しか与えていない利用者が、自分で管理者相当の権限を作れてしまう、という意味になります。
つまり、社内の利用者に限定的な権限を渡していたつもりが、実際には限定になっていない可能性があるということです。JVNのCVSS評価では機密性・完全性・可用性のいずれも高い影響と評価されており、影響は配信先リストの中身だけで決まるわけではありません。そのうえで、扱っているのが顧客の連絡先なのか社内の宛先だけなのかは、自社への影響を見積もるうえで確認しておく必要があります。
本題：この種の資産は「誰の担当か」が決まっていない
acmailerを使っているかどうかにかかわらず、この公表を機に確認しておきたい点があります。自社のサーバやサイトに置かれたプログラムについて、更新の担当が社内で決まっているかです。決まっている会社であれば、この先の内容は確認作業として読んでください。ここから先は、acmailerに限らない一般論です。
中堅・中小企業のWebサイトでは、次のような履歴をたどることがあります。
- 制作会社に依頼してサイトを作る
- 問い合わせフォーム、メール配信、予約受付などの機能が組み込まれる
- 公開後、コンテンツの更新は行うが、組み込まれた部品はそのまま
- 制作会社との契約が、更新やサーバ管理を含まない内容に変わる、または終了する
- 数年後、その部品の脆弱性が公表される
- 社内の誰も、その部品が使われていることを知らない
5の時点で情報を受け取っても、6の状態では動けません。問題は脆弱性の公表ではなく、3から4の間に管理の引き継ぎが行われなかったことです。
FREE DOWNLOAD
AI導入チェックリスト（PoC 失敗要因 10項目）
情シス部門が PoC 前に押さえるべき失敗要因を10項目に整理した無料チェックリスト。
今日できる棚卸し
大がかりな調査から始める必要はありません。次の順で確認してください。所要時間は、対象のドメイン数、設置されているプログラムの数、資料が残っているかどうかで大きく変わります。
最初に、Web資産を次の五層へ分けます。フォームだけを探すより、契約者と責任者の抜けを見つけやすくなります。
横にスクロールして確認できます
| 層 | 確認する対象 | 分からない場合の手掛かり |
|---|---|---|
| ドメイン | 保有ドメイン、更新期限、契約者、管理アカウント | 登録事業者の画面と請求書 |
| サーバー | レンタルサーバーまたはクラウド、契約者、管理画面 | 請求書、契約書、DNSの参照先 |
| サイト本体 | CMS、テーマ、拡張機能、各バージョン | 管理画面、制作時の仕様書 |
| フォーム・配信 | 問い合わせ、予約、採用応募、メール配信 | 実際の画面、自動返信、制作会社への照会 |
| 外部連携 | 決済、予約、解析、チャット、外部API | 読み込まれる外部サービスと契約一覧 |
手順1：自社のWebサイトで、データを入力する画面をすべて挙げる 問い合わせフォーム、資料請求、採用応募、見積り依頼、予約、アンケート、メールマガジンの登録・解除。ドメインが複数ある場合はすべて対象です。ランディングページやキャンペーン用のサイトを忘れがちです。
手順2：それぞれについて、誰が作ったかを確認する 制作会社名、作った時期、現在も契約が続いているか。
手順3：その機能が何で動いているかを確認する 自社サーバ上のプログラムか、外部のサービスか。外部サービスなら契約者は誰か。
手順4：更新の担当を確認する プログラムの更新を誰が行うことになっているか。契約書に書いてあるか、口約束か、決まっていないか。
手順5：入力されたデータがどこに届き、どこに保存されているかを確認する フォームの内容がメールで届く場合、その宛先。サーバに保存される場合、その保存先と保存期間。
手順5で驚くケースが多く見られます。退職した担当者のメールアドレスが宛先に残っている、テスト用のアドレスが残っている、といった状態です。
制作会社への確認文
保守契約の範囲が曖昧な場合、次の内容で確認を依頼してください。
弊社サイトについて、以下をご教示ください。（1）フォームやメール配信に使用しているプログラムまたはサービスの名称とバージョン、（2）それらの更新作業が現在の契約に含まれるかどうか、（3）含まれる場合、直近の更新実施日、（4）含まれない場合、更新が必要になった際の実施主体と費用の考え方、（5）脆弱性が公表された際に弊社へ通知いただけるかどうか。
このうち(5)への回答が、今後の運用を左右します。通知が契約に含まれていない場合、公表を自社で追う必要があります。追えないのであれば、通知を含む契約へ変更するか、別の体制を用意することになります。
更新後は、脆弱性だけでなくアカウントの配り方も点検してください。今回の認可不備を直しても、共有IDや退職者アカウントが残れば別の経路で管理権限を悪用され得ます。
横にスクロールして確認できます
| 観点 | 見つけたい状態 | 是正の判断 |
|---|---|---|
| IDの共有 | 部署や委託先で一つのIDを共有している | 個人単位へ分け、操作主体を追えるようにする |
| 権限の範囲 | 全員が管理者、または配信・編集・宛先管理が未分離 | 業務に必要な最小権限へ分ける |
| 外部関係者 | 制作会社や代理店のIDが常時有効 | 作業期間だけ有効にし、契約終了時に停止する |
| 退職・異動 | 人事手続きとアカウント停止が連動していない | 停止日と実施責任者を手順に入れる |
| 定期棚卸し | 一度作った一覧を見直していない | 半期ごとに利用者と権限を再承認する |
更新できない場合の考え方
「サイトが古く、更新すると動かなくなる可能性がある」という理由で、更新が止まっている会社があります。この場合、次の順で検討してください。
- その機能を今も使っているか（使っていないフォームは、公開を止めるのが最も安全）
- 使っている場合、外部のサービスへ置き換えられるか
- 置き換えられない場合、アクセスできる範囲を制限できるか
- いずれも難しい場合、いつまでに作り直すかを決める
1で解決するケースが実際にあります。数年前のキャンペーン用フォームが公開されたまま残っている、というのはよくある状況です。使っていない入口は、閉じるだけでリスクが減ります。
記録として残すもの
棚卸しの結果は、次の形で残してください。次回の公表時に、同じ調査を繰り返さずに済みます。
- 機能名（問い合わせフォーム、など）
- 設置しているURL
- 使用しているプログラム／サービスと、そのバージョン
- 作成した会社と、現在の保守の有無
- 更新の実施主体
- データの届き先と保存先
- 最終確認日
7項目です。項目を増やすより、更新日を入れて維持することのほうが重要です。
公開している資産の一覧が作れない、あるいは作っても抜けがないか自信がないという段階では、外部から見える範囲を脆弱性診断で洗い出す方法があります。公表のたびに社内が止まる状況を変えるならセキュリティ運用伴走、サイトそのものを作り替える判断を含むならシステム開発の発注前相談で扱います。
Webサイトの保守を「誰が持つか」を決め直す
棚卸しの結果、保守の担当が決まっていないことが判明した場合、次の3つのいずれかに整理します。
整理1：制作会社に保守を含めて委託する 最も手間がかかりません。ただし、費用が発生します。また、制作会社がプログラムの更新まで対応できるかは会社によります。デザインと制作が専門で、サーバやプログラムの保守は範囲外という会社もあります。範囲を明確にして契約してください。
整理2：サーバとプログラムの保守だけを別の事業者に委託する 制作は制作会社、保守は別、という分け方です。責任範囲が明確になる一方、問題発生時に双方が「相手の領域」と主張する余地が残ります。境界を書面で決めておく必要があります。
整理3：外部のサービスへ移行し、自社で保守する対象を減らす フォームやメール配信を外部のサービスに置き換えると、サーバ上のプログラムを自社で更新する必要はなくなります。ただし責任がすべて移るわけではありません。埋め込むコード、連携の設定、アカウントの管理、データの取り扱いは利用者側に残るため、契約書で責任の範囲を確認してください。既存の入力内容や配信リストを引き継げるかも事前に確認が必要です。
どの整理が適しているかは、既存システムとの連携、扱うデータ、費用、社内の体制によって変わります。自社でプログラムを保守し続ける体制がない場合は、整理3が候補に入ります。
移行の見積りを取るときの確認事項
外部サービスへの移行を検討する場合、見積りには次が含まれているかを確認してください。
- 既存フォームの項目と、移行後の項目の対応
- 過去の送信データの移行の有無
- 配信リストの移行と、配信停止の履歴の引き継ぎ
- 自動返信メールの文面の移行
- 送信先の設定（部署ごとの振り分けがある場合）
- 既存のURLからの転送（外部サイトやチラシに掲載されている場合）
- 移行後の動作確認の範囲
最後から2番目は忘れられがちです。フォームのURLが名刺やパンフレット、外部サイトに掲載されている場合、URLが変わると到達しなくなります。転送の設定が必要です。
サイト全体の点検で併せて見る項目
フォームの棚卸しをする際、同じタイミングで確認しておくと効率がよい項目があります。
横にスクロールして確認できます
| 項目 | 確認内容 |
|---|---|
| ドメインの管理 | 契約者は誰か、更新の期限はいつか、支払いの担当は誰か |
| SSL証明書 | 有効期限と更新の担当 |
| サーバの契約 | 契約者、支払い、解約の条件 |
| 管理画面のアカウント | 退職者のアカウントが残っていないか |
| バックアップ | 取得されているか、復元を試したことがあるか |
| 公開しているファイル | 公開の意図がない資料が置かれていないか |
このうち、ドメインの契約者が退職者や当時の制作会社の個人名義になっているケースが、実際に見つかります。更新の連絡が届かず、失効してサイトが表示されなくなる事故につながります。
記録を維持する仕組み
棚卸しは一度行えば終わりではありません。サイトは更新され、キャンペーン用のページが追加され、担当者が変わります。維持するために、次のいずれかを決めてください。
- ページや機能を追加するときに、一覧へ追記することを手順に入れる
- 年に1回、決まった月に見直す
- 制作会社への発注時に、一覧の更新を成果物に含める
3番目は、発注のたびに更新されるため担当者の記憶に依存しない点が利点です。発注書に1行加えるだけで運用に組み込めます。
FAQ
Q1. acmailerを使っているかどうか、どう確認すればよいですか
制作会社または現在の保守事業者に、使用しているプログラムの名称とバージョンを問い合わせるのが確実です。自社サーバを管理している場合は、設置されているプログラムの一覧を確認してください。
Q2. 影響を受けるのは社内利用者だけなら、優先度は低いですか
限定的な権限を渡していた利用者が権限を拡大できる、という点が問題です。委託先や外部の協力会社にアカウントを発行している場合、影響範囲は社内に限りません。アカウントの発行先を確認してください。
Q3. 更新すると設定が消えるのではと不安です
更新前に設定と配信リストのバックアップを取得してから実施してください。作業を委託する場合、バックアップの取得を作業手順に含めるよう依頼してください。
Q4. サイトの保守契約を結んでいません。どこに頼めばよいですか
まず現状の棚卸しを行い、何が動いているかを把握してから依頼先を探すほうが、見積りの比較ができます。何が入っているか分からないまま依頼すると、調査費用が別途発生します。
Q5. 今回の対象製品を使っていなければ何もしなくてよいですか
今回の更新は不要ですが、棚卸しは行う価値があります。同種の部品は他にもあり、次の公表がいつ出るかは分かりません。
参考情報
対象バージョン、CVSSの値、想定される影響は、2026年8月19日付のJVNの公表内容に基づきます。最新版の入手方法および更新手順は開発者が提供する情報を確認してください。個別のサイトで影響が生じているかどうかの判定は、実際の設置状況を確認したうえで行ってください。
