独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は3月28日、a-blog cmsにおける信頼できないデータのデシリアライゼーションの脆弱性について「Japan Vulnerability Notes（JVN）」で発表した。影響を受けるシステムは以下の通り。
a-blog cms Ver.3.1.37より前のバージョン（Ver.3.1.x系）
a-blog cms Ver.3.0.41より前のバージョン（Ver.3.0.x系）
a-blog cms Ver.2.11.70より前のバージョン（Ver.2.11.x系）
a-blog cms Ver.2.10.58より前のバージョン（Ver.2.10.x系）
a-blog cms Ver.2.9.46より前のバージョン（Ver.2.9.x系）
a-blog cms Ver.2.8.80より前のバージョン（Ver.2.8.x系）
※サポートが終了しているa-blog cms Ver.2.7以前のバージョンも本脆弱性の影響を受ける
有限会社アップルップルが提供するa-blog cmsには、信頼できないデータのデシリアライゼーションの脆弱性が存在し、細工されたリクエストに含まれる不正な値を当該製品が処理することで、任意のファイルを当該製品が動作するサーバ上に設置される可能性があり、攻撃者が設置したファイルによっては、当該製品が動作するサーバ上で任意のスクリプトを実行される可能性がある。
開発者では既に、Ver.2.8.x系以降で本脆弱性を悪用した攻撃を確認している。
JVNでは、開発者が提供する情報をもとに最新版へアップデートするよう呼びかけている。なお、アップデート版を適用するまでの間、開発者が提供する情報をもとに暫定対応を実施することで、本脆弱性の影響を回避することができる。
