ProgressのMarkLogic Serverに31件の脆弱性、一部の権限から管理者権限を恒久奪取される恐れ

要点

• Progress Softwareがデータベース「MarkLogic Server」の脆弱性31件を公開し、うち5件を深刻度「クリティカル」と評価した。

• 限定的な管理権限しか持たないアカウントが悪用し、サーバー全体の永続的な管理者権限を奪取できる深刻な欠陥が含まれる。

• 影響を受けるのはバージョン11.3.7未満および12.1.0未満で、修正版がすでに提供されている。

• 回避策は存在せず、現時点で悪用は確認されていないものの、同社は速やかな更新と権限の監査を求めている。

• 米Progress Softwareは2026年10月12日、同社のデータベース製品「MarkLogic Server」に関する計31件の脆弱性を公開した。公表された欠陥のうち5件は深刻度「クリティカル」と判定されており、一部の管理権限しか持たないアカウントが悪用して、サーバー全体の完全な管理者権限を恒久的に掌握できる危険な脆弱性が含まれているという。同社は2026年9月10日付で修正版を公開しており、回避策が存在しないことから、対象環境へ速やかなアップデートを呼びかけている。

一部権限から完全掌握を許す5件のクリティカル脆弱性

公開された脆弱性のうち5件は、共通脆弱性評価システム（CVSS）のスコアが9点台後半の「クリティカル」に分類された。3件が9.9、2件が9.6と極めて高いが、いずれも攻撃者が事前に何らかの権限やコード実行手段を持っていることが前提となる。

特に影響が大きいとされるのが、委譲された権限から永続的な管理者権限の奪取を招く2つの欠陥だ。「CVE-2026-85947」（CVSS 9.9）は、フォレスト（MarkLogicでデータベースに紐づく文書群の単位）の管理権限を持つアカウントが悪用できる。永続的な管理者アカウントを作成され、サーバー全体を完全に制御される危険があるという。修正により、フォレスト限定の権限のみでは任意のデータベースへ接続できないよう改修された。「CVE-2026-85948」（CVSS 9.9）はユーザー管理権限を持つアカウントが悪用可能で、非推奨APIのXQuery（構造化データの検索言語）インジェクションを通じて永続的な管理者権限を取得される恐れがある。

このほか、昇格した権限でサーバー側コードを実行できる「CVE-2026-85955」（CVSS 9.9）、管轄外のフォレストを操作して重要データへアクセスできる「CVE-2026-85956」（CVSS 9.6）、特定のRESTやXDBC評価パスから不正操作を許す「CVE-2026-9191」（CVSS 9.6）がクリティカルに指定された。これら5件中4件は、外部研究者のrexnets氏とWaltWhitehat氏により報告された。

認証機能やクラウド環境に依存する26件の欠陥

残る26件の脆弱性は、24件が深刻度「高」、2件が「中」と判定されている。最もスコアが高い「CVE-2026-85954」（CVSS 8.6）は、特定のXQuery関数に値を渡すことで付与以上の権限を取得できる欠陥だ。

また、利用している構成や基盤に依存する脆弱性も複数含まれる。

• SAML認証: 未認証の遠隔攻撃者が不正なアサーションを受容させられる欠陥（CVE-2026-85962）や、11.xでの外部エンティティ処理の不備（CVE-2026-85957）が存在する。
• OAuth認証: 不正なトークンを受容してしまう問題（CVE-2026-85958）が確認され、発行者などの検証処理が追加された。
• Kerberos認証: パスワードベース環境で、ネットワーク上の攻撃者が認証サービスになりすませる恐れがある（CVE-2026-85972）。
• クラウド環境: 認証済み攻撃者がAzure（CVE-2026-85951）やLinuxクラウド（CVE-2026-85952）で認証情報を不正取得できる欠陥が判明した。
• 診断ログ: 特定設定で機微情報がログへ記録される欠陥（CVE-2026-85949、AzureではCVE-2026-85961）も見つかっている。

影響を受けるバージョンと適用時の留意事項

脆弱性の影響を受ける製品と、対応する修正バージョンは以下の通りである。

• MarkLogic 11.x（11.3.7未満）: バージョン「11.3.7」へ更新
• MarkLogic 12.x（12.1.0未満）: バージョン「12.1.0」へ更新

MarkLogic 11.3は長期サポート（LTS）系統だが、12系は同社がイノベーションリリースと位置付けており、12.0系に対する修正パッチは提供されない。そのため12系では新機能を含む12.1.0への移行が必要となる。また、2026年8月に公開された修正版（11.3.6および12.0.3）を導入済みであっても、今回の脆弱性の影響を受けるため再度の更新が必須だ。

同社の公開情報では実際の攻撃への悪用有無は言及されておらず、米CISAの悪用確認済み脆弱性カタログ（KEV）にも登録されていない。しかし、更新を行えない顧客向けの回避策は一切用意されていないという。同社は迅速なアップデートを求めるとともに、更新前に委譲された権限割り当てを再点検し、xdmp-eval-in 権限を持つロールを監査するよう呼びかけている。