CISAが2026年10月8日にKEVへ追加したStrapi CVE-2023-22894について、公式とNVDの影響範囲の差、旧系列のサポート終了を確認。情シス・Web担当・開発者向けに、稼働版、管理権限、ログ、認証情報、更新と移行の判断を整理し、対応チェックリストと記録テンプレートへつなぎます。
この記事の目次 8項目から選ぶ
何が起きたか：古いCVEが新たにKEVへ登録された
CISA KEV JSONの2026年10月8日版に、StrapiのCVE-2023-22894が追加されました。KEVは悪用が確認された脆弱性のカタログです。これは2023年の脆弱性を改めて優先確認する材料であり、2026年に新しいゼロデイが見つかったという意味ではありません。
Strapiは、Webやアプリへコンテンツを提供するヘッドレスCMSです。Web担当・情シス・開発者は、まず自社や委託先の稼働版と保守状態を確認してください。現時点で公開情報から確認できる範囲では、自社の侵害や漏えいをKEV登録だけで断定できません。
影響範囲：ベンダーとNVDの記載を分けて読む
Strapiの公式開示は、機密扱いのユーザー情報が漏れる問題を説明しています。同じ開示には別の脆弱性との組み合わせへの注意もありますが、本稿ではその再現方法は扱いません。
| 確認先 | 掲載されている範囲・状態 | 判断上の注意 |
|---|---|---|
| Strapiの当時の開示 | CVE-2023-22894の影響版は3.2.1以上、4.8.0未満と記載 | 当時の資料。本文の更新案内も併せて読む |
| NVDの説明 | 4.5.5までと記載し、管理画面へのアクセスに関わる条件を説明 | この狭い範囲だけで4.6・4.7系を対象外としない |
| Strapiの2026年の公式発表 | v4はサポート終了。以後の修正提供を前提にできない | 対象CVEの対処と、保守対象系列への移行を別の課題として管理 |
一次資料間で範囲・評価の記載に差があるため、本稿では一つのスコアや「この版なら常に安全」という断定へまとめません。使っている系列、パッケージ、過去の更新履歴を照合し、境界の判断がつかない場合はベンダー・保守担当へ確認します。確認できるまでは「未確認」として扱います。
ベンダーの当時の更新案内は、4.8.0より新しい版への更新を求めています。影響範囲の欄と更新案内の境界が一致しない部分もあるため、4.8.0ちょうどを自己判断の安全基準に固定しません。現在の更新判断では、次のサポート状態も確認します。
2026年6月のStrapi公式記事はv4のサポート終了を明示しています。当時の開示にある更新案内を、そのまま現在の推奨最新版として使わないでください。現行リリースと公式の移行資料を照合して計画します。
影響を確認する組織・担当者
- Web担当・制作会社：会社サイト、会員機能、キャンペーンサイト、閉鎖したつもりの旧環境でStrapiを使っていないか確認する。
- 開発者・運用担当：パッケージと実行環境の版、公開API、管理画面、認証連携、設定・データの更新履歴を確認する。
- 情シス・データ管理者：ユーザー情報、認証情報、外部サービスとの接続、更新や停止の業務影響を整理する。
- クラウド・委託先の窓口：提供形態、責任分界、影響有無・修正・ログ取得について、提供元の回答と確認日時を残す。
ホスト型サービスの利用と、自分で設置したStrapiの運用は責任範囲が異なります。「クラウドだから対象外」「管理画面を公開していないから必ず無影響」と決めず、提供元・担当者の確認結果を得ます。
なぜ重要か：更新と漏えい調査は別の作業
CMSには公開コンテンツだけでなく、編集者・ユーザーの情報、メール送信、ストレージ、API連携などが集まります。対象環境を更新しても、過去に機密情報や認証情報が露出した可能性まで消したことにはなりません。
今回の確認は、対象か、誰がアクセスできたか、何が変わったか、保守対象へ戻せるかの4点です。CVSSの値だけで優先度を下げず、KEV登録、外部公開、保守終了、重要データ、ログの取得可否を合わせて判断します。
まず確認すべきこと
以下は編集部が整理した防御用チェックリストです。自社または確認権限のある環境だけを対象にします。
- 本番・検証・旧環境・委託先のStrapiと、その所有者・保守担当を一覧にする。
- パッケージ情報、lockfile、デプロイ記録から稼働版を確認し、予定版と実際の版を分ける。
- API、管理画面、認証連携の公開範囲と権限、ユーザー情報の管理区分を確認する。
- 管理者・利用者・APIトークンなどの変更履歴と、アプリ・Web・認証・DBの利用可能なログを確認する。
- 更新・移行時に影響するプラグイン、データ、媒体ファイル、接続先、バックアップ、復元確認を整理する。
- 確認済み・対象外・未確認の根拠を残し、不審な操作や機密情報への影響は責任者へ引き継ぐ。
コンテナ運用の場合も、タグ名だけで実行中の版を判断しません。対象イメージ、稼働環境、パッケージ情報を対応付けます。ソフトウェア資産台帳の作り方が確認の入口になります。
推奨する初動対応
やること
対象の可能性がある公開環境では、責任者と公開・権限を制限し、ログや設定変更の記録を保全します。同時に、現行の保守対象系列への更新・移行を計画します。対象範囲が不明なら、調査が終わるまで現状を放置するのではなく、承認済みの暫定制御・停止の要否を判断してください。
管理者や権限の不審な変更、機密情報へのアクセス、説明できないアプリ動作などがあれば、インシデント対応へ引き継ぎます。認証情報への影響が疑われる場合は、発行元の失効、セッション、連携先の確認を担当者と進めます。秘密値を取り出して確かめたり、第三者の環境へ送ったりしません。
やってはいけないこと
- 公開された検証コードや操作を使って、機密情報が取得できるか試す。
- 証跡・承認を残さず、ユーザー、DB、ログ、設定を削除する。
- 当時の修正境界への更新だけで、サポート終了や過去の影響も解決したと判断する。
- 一つの正常なアクセスログや、アラートがないことだけで無影響と断定する。
取得したKEV JSONの追加日は2026年10月8日、dueDateは10月11日、ランサムウェア利用欄はUnknownです。Unknownは「利用なし」の証明ではありません。掲載期限とCISA BOD 26-04の指令対象は、米連邦民間行政府の対象システムに関わる情報で、日本の全企業へ同じ法的期限が課されるという意味ではありません。自社の公開状況・重要度・社内規程で期限と責任者を決めます。
対応を完了とする条件と、実務集への進み方
対象環境と稼働版の確認、保守対象への更新・移行、業務確認、権限・認証情報の保護、ログの確認期間、未確認先の引き継ぎを分けて記録します。侵害の兆候があれば、「更新完了」と「調査クローズ」は別の承認にしてください。
Strapi・ヘッドレスCMS KEV初動確認チェックリストには、事前情報、確認項目、初動の順序、転記用の記録、エスカレーション判断をまとめています。漏えい疑い初動テンプレート、認証と認可の違い、KEVとEPSSの違い、実務集一覧も併せて参照してください。
公式情報・参考情報
2026年10月10日に取得・確認しました。ベンダー開示の当時の版と、現在のサポート状態・自社の対応を混同しないように整理しています。
- CISA KEV JSON — 2026年10月8日版の対象レコード。
- Strapi: Security Disclosure of Vulnerabilities — 2023年4月の開示と、当時の影響範囲・更新案内。
- NVD: CVE-2023-22894 — 説明・評価・参照先。NVD公式APIでも照合。
- Strapi: March to June 2026 release roundup — v4サポート終了の公式説明。
- Strapi公式リリース一覧 — 更新先の再確認。
- CISA BOD 26-04 — 指令の対象と要求事項。
