本当の穴は「開けっぱなしの便利ツール」かもしれない ― phpMyAdmin 5.2.3の未修正報告から考える

数字で確かめたわけではありませんが、phpMyAdminを「穴」にしてしまっている人は、けっこう多いのではないか。私たちはそう感じています。

昔のプロジェクトに同梱されたまま更新されていないコピー。初期設定のときに使ったまま残っている管理画面。インターネットから誰でもログイン画面にたどり着ける状態。どれも「便利だから」「あとで消すつもりだった」から始まります。

今回の報告を見て私たちが考えたのは、問題の中心は1つの不具合ではなく、便利な管理ツールが、公開されたまま・古いまま残っていることだということです。2要素認証（2FA）をかけていても、管理画面そのものが外から見えていれば、守りは何層も薄くなります。

何が報告されたのか

10月27日（UTC）、研究者「abraxas」氏がX上で、phpMyAdmin 5.2.3の2FA（WebAuthn、セキュリティキー方式）に関する、未修正だとする問題を公表しました。abraxas氏の投稿

研究者の主張：WebAuthnの署名が検証されないコード経路があり、MySQLのパスワードを知っている人なら2FAを通過できる。影響はphpMyAdmin経由のデータベースへの不正アクセスで、サーバー上でのコード実行ではない。
研究者は、公式配布物にはその経路を避けるためのライブラリが含まれていないと主張しています。一方、cPanelとPleskは、自社が提供するphpMyAdminにはそのライブラリが含まれているため影響を受けないと発表しました。cPanel、Plesk 私たちが公式サイトの5.2.3配布ファイル（全言語版zip）の中身を確認したところ、このライブラリは含まれていました。ただし、ライブラリが含まれていれば影響がないのかどうかまでは、私たちは確認していません。どの環境が影響を受けるかは、まだはっきりしていません。

翌28日、同じ研究者が「さらに9件」として、SQLインジェクション4件、CSRF、初期設定用のsetupフォルダが残っている場合のSSRF、権限まわりの問題、XSSなどを公表しました。abraxas氏の投稿これらも研究者の主張で、多くは「ログイン済みであること」や「setupフォルダが残っていること」などの条件付きです。

phpMyAdmin公式のセキュリティ情報ページで最新のアドバイザリはPMASA-2025-3のままで、10月29日時点で今回の件についての公式発表やCVE番号は確認できませんでした。phpMyAdminセキュリティ情報

2FAがあっても、公開されていれば狙われる

今回の2FAの件も「パスワードを知っていること」が前提です。逆に言えば、ログイン画面が外から見えていなければ、パスワードを試す機会そのものが減ります。setupフォルダの件も、「残っている」「外から届く」という2つの条件がそろってはじめて問題になります。

つまり、個々の不具合が直るのを待つあいだも、そもそも外から届かない状態にしておくことが大きな差になると私たちは考えています。

私たちがおすすめしたいこと

インターネットに公開しない：phpMyAdminは、IPアドレスの制限、VPN、SSHトンネルなど、決まった人だけが届く経路で使うことをおすすめします。
Webサーバー側にもう1枚の認証を置く：phpMyAdmin自身の2FAだけに頼らない構成をおすすめします。
使っていないなら削除する：一度きりの作業のために入れたものは、終わったら消しましょう。
同梱されたコピーを探す：過去のプロジェクトやサーバーに、古いphpMyAdminやsetupフォルダが残っていないか確認しましょう。
公式のセキュリティ情報をときどき見る：修正版や公式見解が出たら、その案内に従って更新しましょう。
修正が出るまでは「さらす面」を減らす：公開範囲を絞ることが、いまできる有効な対策のひとつです。

ここに書いたのは一般的な考え方で、すべての環境での安全を保証するものではありません。実際の対応は、phpMyAdminやお使いのサーバー・サービスの最新の公式案内を確認したうえで判断してください。

おわりに

便利なツールほど、入れたことを忘れがちです。そして、忘れられたツールは更新もされません。今回の件も、報告どおりかどうかの確認はこれからですが、「外から届かない」「使わないものは置かない」という基本は、どんな結果になっても役に立ちます。新しい脆弱性のニュースは、「そもそも、これはまだ必要か」「誰から見えているか」を見直すよい機会だと思います。

あわせて読みたい、Tesujiのセキュリティ記事：

参考情報

abraxas氏の投稿（2FAの件、10/27 UTC） https://x.com/abraxas_null/status/2115131071025287376
abraxas氏の投稿（追加9件、10/28 UTC） https://x.com/abraxas_null/status/2115413282911900087
phpMyAdmin セキュリティ情報 https://www.phpmyadmin.net/security/
phpMyAdmin 5.2.3 リリース告知 https://www.phpmyadmin.net/news/
cPanel：phpMyAdmin 5.2.3 WebAuthn 2FA Bypass https://support.cpanel.net/hc/en-us/articles/44597502379159-Security-phpMyAdmin-5-2-3-WebAuthn-Two-Factor-Authentication-Bypass
Plesk：phpMyAdmin 5.2.3 WebAuthn 2FA Bypassに関するサポート記事 https://support.plesk.com/hc/en-us/articles/44597473651351
Brandefense：phpMyAdmin 2FA Bypass Claim https://brandefense.io/security-news/phpmyadmin-webauthn-2fa-bypass-who-is-exposed/

確認日：2026年10月29日。今回の件は公式の修正・発表前の情報を含みます。最新の状況はphpMyAdmin公式サイトで確認してください。