LookerのXSS修正とセルフホスト版アップデート対応

Lookerは、管理者が悪意あるURLを開くとスクリプトを実行され得るXSS脆弱性と、セルフホスト版に必要な更新を案内しました。

要点

• Lookerホスト版とセルフホスト版の双方が影響を受けました。
• Lookerホスト版は対策済みで、利用者側の作業は不要です。
• セルフホスト版は修正版へ速やかに更新する必要があります。

今回の更新で変わること

今回公表された問題では、攻撃者が細工したURLを作り、そのURLをLooker管理者が開いた場合に、管理者の権限で任意のスクリプトを実行できる可能性がありました。管理者アカウントの侵害につながり得るため、通常利用者だけを対象にした画面不具合とはリスクが異なります。公式情報ではLookerホスト版とセルフホスト版の両方が脆弱だったとされますが、ホスト版はすでに緩和済みで、顧客側の追加作業は不要です。

セルフホスト版は、サポート対象ブランチごとに修正版が示されています。26.8.7以降、26.6.28以降、26.4.36以降、26.2.47以降、26.0.66以降、25.18.68以降、25.12.65以降、25.6.103以降が修正を含みます。単に最新メジャー版へ移る必要があるわけではありませんが、自社の保守系列に対応する最低修正版以上へ更新しなければなりません。変更管理が必要な環境でも、管理者アカウントを狙う性質を踏まえて優先度を上げるべきです。

対応時は、現在のバージョン、公開範囲、管理画面へ到達できる利用者、外部から共有されたURLの取り扱いを確認してください。更新前後で認証、埋め込み、管理画面、主要ダッシュボードの動作を試し、監査ログに不審な管理者操作がないかも確認するとよいです。通常の機能更新と一緒に処理せず、CVE-2026-15810への対応を独立したセキュリティ作業として追跡する必要があります。

パッチ適用まで時間がかかる場合は、管理画面へのネットワーク到達範囲を絞り、管理者へ外部リンクを開かないよう周知する暫定策も検討できます。ただし暫定策は修正版への更新を置き換えません。バックアップと復旧手順を確認した上で、対応系列の最新パッチを適用してください。

対象になりそうなユーザー・チーム

セルフホストLookerを運用する管理者、セキュリティ担当、パッチ適用と動作確認を担当する基盤チームに関係します。

今すぐ対応が必要か

セルフホスト版では必要です。自社系列の修正版へ更新し、管理者アカウントと監査ログを確認してください。Lookerホスト版は公式に対策済みです。

結局、この更新をどう見るべきか

セルフホスト環境に明確な更新作業を求めるセキュリティ告知です。一般的な月例更新に埋めず、CVE対応として追跡するのが適切です。