CVE-2026-55579 — Pheditor ハードコードされたデフォルトパスワードによる RCE

要約: Pheditor（全バージョン）には、ソースコードに ハードコードされたデフォルト管理者パスワード（admin）が埋め込まれています。初回ログイン時にパスワード変更を強制する機能はなく、視覚的な警告のみです。未認証の攻撃者は誰でも管理者としてログインし、ビルトインの ターミナルパネル（action=terminal）を悪用して、Webサーバーの権限で任意のOSコマンドを実行できます。ファイルアップロード機能と組み合わせることで、未認証のリモートコード実行（RCE） に至ります。

目次

1. 脆弱性の概要
2. 根本原因
3. 攻撃の流れ
4. クイックスタートと再現手順
5. 影響
6. 対策
7. 検知
8. クレジットと免責事項

脆弱性の概要

根本原因

この脆弱性は、pheditor.php（11行目）にパスワード admin のSHA‑512ハッシュがハードコードされていることに起因します。

define('PASSWORD', 'c7ad44cbad762a5da0a452f9e854fdc1e0e7a52a38015f23f3eab1d80b931dd472634dfac71cd34ebc35d16ab7fb8a90c81f975113d6c7538dc69dd8de9077ec');

このハッシュは次のコマンドで生成されます。

echo -n 'admin' | sha512sum

これが致命的である理由：

1. パスワードは 変更を強制されない – アプリケーションは単に警告バナーを表示するだけです（pheditor.php 1956–1958行）。
2. admin/admin でログインすると、攻撃者は以下に完全アクセスできます。
   • ターミナルパネル – 任意のシステムコマンドを実行（action=terminal）
   • ファイルアップロード – 任意のファイルをアップロード（action=upload）
   • ファイルエディタ – Webサーバーの権限内で任意のファイルを読み書き（action=open/action=save）

レート制限、ロックアウト、追加の認証要素は一切ありません。

攻撃の流れ

攻撃は非常に単純で、推測は一切不要です。

1. 認証 – pheditor.php に pheditor_password=admin を含む POST リクエストを送信します。サーバーはセッションクッキーを設定します。
2. CSRFトークンの取得 – メインページを取得し、token JavaScript変数を解析します。
3. ターミナル経由のRCE – 次のパラメータで POST リクエストを送信します。
   • action=terminal
   • token=<取得したトークン>
   • command=<OSコマンド>
   • dir=（オプション）
4. 出力 – コマンドの出力は HTML の <pre> タグ内に返され、簡単に解析できます。

別の方法として、攻撃者はWebシェルをアップロードしたり、アプリケーションファイルを上書きしたりすることもできます。

クイックスタートと再現手順

1. 脆弱なラボ環境の起動

公式リポジトリをクローンし、ローカルサーバーを起動します。

git clone https://github.com/pheditor/pheditor.git /tmp/pheditor
cd /tmp/pheditor
php -S localhost:8080 pheditor.php &

2. PoCの実行

提供されたPythonエクスプロイトは、Python標準ライブラリのみに依存しています（外部依存関係なし）。argparseベースのCLI、高度なエラーハンドリング、詳細出力モード、タイムアウト制御を備えています。

python3 exploit.py http://localhost:8080/pheditor.php "id; hostname; whoami"

3. 期待される出力

[*] Logging in with password: admin
[+] Login successful
[*] Extracting CSRF token...
[+] Token: a1b2c3d4e5f6...
[*] Executing: id; hostname; whoami

==================================================
Command Output:
==================================================
uid=33(www-data) gid=33(www-data) groups=33(www-data)
ubuntu
www-data
==================================================

影響

エクスプロイトが成功すると、攻撃者は以下を入手します。

• ファイルシステムへの完全なアクセス（読み取り/書き込み/削除） – アプリケーションコード、設定、データの侵害。
• 任意のコマンド実行 – バックドアのインストール、内部ネットワークへのピボット、機密情報の外部送信が可能。
• 権限昇格 – Webサーバーが特権ユーザー（多くの場合 root）で実行されている場合、攻撃者はホストの完全な制御を獲得。
• 機密性、完全性、可用性の完全な喪失 – CVSSスコアに反映。

Pheditorは開発環境や軽量ファイルマネージャーとしてよく使用されるため、攻撃者はこれを容易に発見し悪用して初期足がかりを得ることができます。

対策

1. 即時対応: インストール後すぐにデフォルトパスワードを変更してください。強力でユニークなパスワードを使用してください。
2. ターミナル機能の無効化: 厳密に必要でない場合は、ターミナルパネルをUIから削除するか、設定フラグで無効にしてください。
3. ベンダーパッチの適用: 利用可能になり次第、ベンダーパッチを適用してください（メンテナーに通知済み、修正が期待されます）。
4. 多層防御:
   • IPホワイトリストまたはVPNを使用してPheditorインターフェースへのアクセスを制限する。
   • Webサーバーを最小権限（非root）ユーザーで実行する。
   • アクセスログで不審なパターン（例：pheditor_password=admin など）を監視する。

検知

環境内で侵害の兆候を監視してください。

• アクセスログ: pheditor.php への POST リクエストで pheditor_password=admin または action=terminal がないか確認。
• ファイルの変更: 予期しない新しいファイル（例：Webシェル）や既存のアプリケーションファイルの変更。
• プロセス実行: Webサーバーユーザーによる異常なコマンド実行（特に sh, bash, nc, curl, wget を含むもの）。
• 外向け接続: Webサーバーが予期しない外向け接続（リバースシェル、データ流出）を行っていないか。

攻撃チェーンと追加のペイロードの詳細については、ANALYSIS.md を参照してください。

クレジットと免責事項

• リポジトリ所有者: Ch4120N
• エクスプロイト開発と研究: Ch4120N
• アドバイザリ参照: GHSA-p4h7-p9rj-2pq2

免責事項: このリポジトリには、防御、教育、および許可されたセキュリティテスト を目的とした Proof of Concept（PoC）が含まれています。所有していない、または明示的な書面による許可を得ていないシステムに対してこのコードを使用しないでください。著者は誤用に対する一切の責任を負いません。