「GNU Wget」にSSRF脆弱性 - 連携利用環境なども注意

Linux環境などで広く利用されるファイル取得ツール「GNU Wget」に脆弱性が明らかとなった。

CERT/CCは現地時間2026年7月10日、セキュリティアドバイザリを公開し、サーバサイドリクエストフォージェリ（SSRF）の脆弱性「CVE-2026-15146」について注意喚起を行った。

「GNU Wget」は、コマンドラインよりHTTPやHTTPS、FTPなどを通じてコンテンツを取得できるツール。外部よりデータを取得するために他プログラムと連携して利用されることも多い。

FTPのパッシブモードでは、サーバから返されるPASV応答をもとにデータ接続先を決定するが、応答内容に含まれるIPアドレスを適切に検証しないことが判明。

悪意あるFTPサーバや、FTP URLへリダイレクトするHTTPサーバの応答によって、GNU Wgetを任意のIPアドレスやポートへ接続させることが可能となり、ローカルホスト上のサービスや内部ネットワークリソースなどへアクセスされるおそれがあった。

（Security NEXT - 2026/07/13 ）ツイート