CVSS9.4のShowDoc脆弱性が攻撃対象に、ファイルアップロード機能に欠陥

ドキュメント管理ツール「ShowDoc」において、重大な脆弱性が実際に悪用されていることが報告されています。この問題は、認証なしでファイルをアップロードできる欠陥に起因し、攻撃者がサーバー上で任意のコードを実行できる可能性があります。未更新環境では特に注意が必要です。
The Hacker News：ShowDoc RCE Flaw CVE-2025-0520 Actively Exploited on Unpatched Servers

この記事のポイント

影響のあるシステム

ShowDoc バージョン 2.8.7未満
ShowDocを利用したドキュメント管理・コラボレーション環境
インターネット公開されたShowDocサーバー

推奨される対策

ShowDocを最新のバージョン（執筆時点では3.8.1以降）へアップデートする
外部公開されているShowDocサーバーのアクセス制御を確認する
不審なファイルアップロードやWebシェルの痕跡を調査する
不要なサービスの公開を停止する

上記の対策は、元記事の事実に基づき日本の読者向けに整理したものです。

この記事に出てくる専門用語

CVE-2025-0520：ShowDocにおける未認証ファイルアップロードに起因するリモートコード実行の脆弱性（CVSS 9.4）。
リモートコード実行（RCE）：遠隔から任意のプログラムを実行できる状態を指し、重大なセキュリティリスクです。
Webシェル：Webサーバー上に設置される不正なスクリプトで、攻撃者が遠隔操作を行うために使用されます。
未認証アップロード：認証なしでファイルをアップロードできる状態で、悪用されやすい脆弱性の一つです。

実際に確認された攻撃の概要

今回の脆弱性CVE-2025-0520は、すでに実際の攻撃で利用されていることが確認されています。報告によると、攻撃者は脆弱なShowDocサーバーに対して不正なファイルをアップロードし、その中にWebシェルを設置することで、遠隔からサーバーを操作できる状態を作り出していたとされています。

観測された攻撃では、米国に設置されたハニーポット環境が標的となり、実際に脆弱性を利用した侵入が試みられたと報告されています。このような攻撃は特定の地域に限定されるものではなく、インターネットに公開されている脆弱なシステムが広く対象となる可能性があります。特に未更新のシステムは自動的にスキャンされ、攻撃対象としてリスト化されるリスクがあります。

脆弱性の技術的な問題点

この脆弱性は、ファイルの拡張子チェックが不十分であることに起因しています。本来であればアップロードできないはずのPHPファイルなどが制限なく受け入れられてしまい、サーバー上で実行可能な状態になる点が問題です。しかも、この処理は認証なしで行えるため、誰でも攻撃を試みることができるとされています。

攻撃者はこの仕組みを利用して、サーバーに直接コードを配置し、その後の操作を自由に行うことが可能になります。こうした構造は、典型的なリモートコード実行のパターンであり、サーバーの完全な乗っ取りにつながる可能性があります。特に古いバージョンを運用し続けている場合、リスクが顕在化しやすい状況にあるといえるでしょう。

国内環境でのリスクと対応策

ShowDocは主に中国圏で広く利用されているとされていますが、日本国内でも利用されているケースがあるため、影響を完全に無視することはできません。特に、開発チーム内でドキュメント共有ツールとして導入されている場合、外部公開設定のまま運用されている可能性があります。

まずは自社環境でShowDocが使用されているかを確認し、該当する場合はバージョンの確認とアップデートを優先する必要があります。また、すでに侵害されている可能性も考慮し、不審なファイルや通信のログを調査することが重要です。脆弱性は過去に修正されていても、未更新環境が残っている限り攻撃対象となるため、継続的な資産管理とアップデート運用が求められます。

参考文献・記事一覧

The Hacker News

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
Hack The Box Business CTF 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）