acmailerの脆弱性にご注意ください

2023年夏ごろから、acmailerの脆弱性を悪用した不正アクセスが急増しています。

さくらのレンタルサーバではクイックインストールによるacmailerのご提供はなく、動作保証も行っておりませんが、多数のお客様がご利用である事を確認しております。
お心当たりがある場合は以下をご確認のうえ、ご対応いただけますようお願いいたします。

また、現在acmailerをご利用されておらず、設置されたファイルのみが残っている場合もファイルマネージャー等から削除ください。

acmailerとは

acmailerはサーバーに設置する、CGIタイプのメール配信システムです。

無料で使え、HTMLメールや空メールでのメンバー登録など多機能なため、さくらのレンタルサーバでもご利用のケースが多いようです。

acmailerの確認方法について

さくらのレンタルサーバのクイックインストールではご提供しておらず、サーバコントロールパネルのインストール済パッケージでは確認できません。

しかしながら、インストール手順でacmailerの設置ディレクトリは/acmailerとなるように指定されているため、まずは/acmailerというディレクトリの有無と、同梱されている以下のファイルの有無をご確認ください。

• init_ctl.cgi
• admin_edit.cgi
• email_send_check.cgi
• email_send_ctl.cgi
• email_list.cgi

バージョン確認方法

インストールディレクトリ内の lib/setup.cgi 内の
$SYS->{version}
の行を確認。

acmailerの脆弱性について

本件に関する注意喚起情報

詳細は下記をご参照ください。

脆弱性の内容

脆弱性は複数ありますが、すべてをまとめると以下の通りです。

• ログインID及びパスワードの上書き
• acmailer全権限の取得
• メールリスト、ログインID、パスワードなどの設定情報の漏洩
• cgiファイルの破壊
• 第三者から任意のコマンドの実行

対策

最新バージョンへのバージョンアップ。

※個別に回避可能な脆弱性もありますが、すべての脆弱性対策にはバージョンアップが必要になります。

さくらインターネットでは、お客様の「やりたいこと」を「できる」に変えるを実現するため、安心してご利用いただけるセキュリティの強化に努めてまいります。
今後ともどうぞよろしくお願い申し上げます。