XP812 by Xiang Peng

MacCMS10（苹果CMS v10）の採用判断: 報告済み脆弱性と保守リスクを整理

MacCMS10（苹果CMS v10）は、動画・漫画・記事などを1つのPHP CMSで管理したい事業者に検討されるオープンソースCMSです。しかし、2026年8月時点の公開情報を観察する限り、最新リリースに対してリモートコード実行（RCE）やSSRF（サーバーサイドリクエストフォージェリ）を含む複数のセキュリティIssueがオープン（未クローズ）のまま報告されており、PHP 8環境の不具合やアップグレード後の既存機能破損の報告もあるため、特別な事情がない限り現時点での本番採用は時期尚早と判断します。採用する場合も、セキュリティ監査、実行環境のバージョン固定、アップグレード移行計画を前提にした条件付き採用にすべきです。本記事は公開リポジトリ・リリース・Issueの観察のみに基づく技術レビューであり、インストール、動作確認、性能測定、本番運用の検証は行っていません。

MacCMS10とは: 基本情報とファクトテーブル

READMEによれば、MacCMS10はPHP＋MySQL環境で動作するサイト構築システムです。開発者は「軽量で高速」「低コストで構築できる」「HTMLの知識があればカスタマイズ可能」と説明しており、動画、分集（エピソード）、記事、漫画、画像、サイトナビゲーションを扱えます。v10はThinkPHP 5.xをカーネルとして採用し、バックエンドとHTMLテンプレートを分離した設計とのことです。ただし、これらは開発者による主張であり、本記事では独立検証していません。

項目 内容（観察日: 2026-08-19）
リポジトリ magicblack/maccms10
概要（README） PHP＋MySQLのCMS。動画、分集、記事、漫画、画像、サイトナビゲーションに対応
主要言語 / コア PHP / ThinkPHP 5.x（READMEの記述）
ライセンス NOASSERTION（SPDX識別子なし・商用条件は未確定）
スター / フォーク 2,852 / 979
オープンIssue 18
リポジトリ作成 2019-07-08
直近の更新 リポジトリ: 2026-08-18 / 最新リリース: v2026.1000.4055（2026-07-31公開）
主なトピック article-cms, video-cms, manga, thinkphp5, video-sharing ほか

更新頻度は高く、リポジトリは直近でも継続的に更新されています。一方、機能の多さと更新の速さは、採用後に追従するコストの大きさにもつながります。

機能面: リリースノートから見える開発方針

リリースノートによれば、近年は機能追加が活発です。v2026.1000.4055ではプラグインマーケット（RS256署名検証、SSRF出站保護、ZipSlip二重検証、多言語化）、フォロー・タイムライン・私信などのソーシャル機能、PWAとWeb Push、クーポン・タイムセール・ポイント商城、AIコンテンツアノテーション、AIチャットとセマンティック検索などが追加されています。v2026.1000.4054ではライブ配信、予約公開、多段階審査、S3/OSS/MinIOへのバックアップ、Meilisearch検索、静的ページ生成、bcryptパスワード、CSRF保護、Redisレート制限などが盛り込まれ、アカウント乗っ取り・越権・XSSなどの修正も記載されています。

このように開発サイクル自体は活発で、短期間に複数のリリースを重ねています。ただし、これらはすべてリリースノート上の記載であり、機能の品質・安定性・既存テンプレートとの互換性を保証するものではありません。多機能化が進むほど、アップグレード時の差分確認と回帰テストの負担は大きくなります。

セキュリティ: 最新版に報告されているIssue

採用判断で最も重要なのは、2026年8月時点で以下のようなセキュリティIssueがオープンのまま観察されていることです。これらは第三者による報告であり、本記事では再現や実害の確認を行っていませんが、内容は本番運用に直結する深刻度です。

  • Issue #1378（RCE）: v2026.1000.4055の管理画面テンプレート機能にテンプレートインジェクションがあり、システムコマンド実行が可能と報告されています。
  • Issue #1377（SSRF）: v2026.1000.4055の収集（API URL）機能でSSRFが発生し、localhostと127.0.0.1のブロックは127.0.0.2や[::1]で迂回可能と報告されています。
  • Issue #1367（CSRF・XSS連鎖→RCE）: v2026.1000.4054で、未認証の攻撃者が管理者を誘導し、GET-CSRFと保存型XSSの連鎖からPHPファイルを書き出してRCEに至る可能性が報告されています。
  • Issue #1366（CVE-2025-28090の残存）: v2026.1000.4054の収集機能でCVE-2025-28090（SSRF）が依然として悪用可能と報告され、127.0.0.1/localhostのみのブロックが不十分で内部ネットワーク・ループバック・リダイレクト・gopher等の迂回が確認されたとされています。

これらのIssueは公開されたまま（オープン）で、修正バージョンの有無は本記事の観察範囲では確認できませんでした。既にMacCMS10を公開環境で運用している場合は、攻撃経路となりうる管理画面・収集機能・テンプレート編集へのアクセスを制限し、最新の修正情報を追跡してください。侵害の可能性を疑う状況では、調査の完了を待たずに直ちに専門家へ相談するのが安全です。

保守とアップグレード: 実際に報告されている運用上の問題

懸念はセキュリティだけではありません。公開Issueには、保守・アップグレードに関わる以下の報告があります。

  • PHP 8非互換（#1372）: PHP 8.0〜8.5環境でデフォルトテンプレートがエラーを出すとの報告があります（PATH_INFO未定義、mb_check_encodingの非推奨警告）。
  • アップグレード後の破損（#1375）: 最新版へのアップグレード後、従来のコメントAPI呼び出し（/index.php/comment/ajax.html）が動作せず、全サイトのコメントが返るなどの変化が報告されています。旧テンプレートや自作呼び出しに依存するサイトでは、アップグレード時の回帰テストが必須です。
  • フロント依存（#1370）: 同梱のhome.jsの一部がjQuery 4.0に対応していないとの報告があります。
  • 決済連携（#1373）: 標準テンプレートでのコイン課金時にエラーが出る、AlipayのMD5鍵廃止に伴う改修が必要、という報告があります。
  • アプリ梱包（#1374）: 公式のH5アプリ梱包サービスでネットワークエラーが発生するという報告があります。

このことから、MacCMS10は「導入が簡単」というREADMEの説明とは別に、実行環境の固定、カスタム差分の管理、アップグレード手順の確立といった継続的な保守作業を前提とするプロジェクトだと評価できます。

同じ問題でお困りですか？ 相談する

採用判断の基準: チェックリスト

本番採用を検討する場合、少なくとも以下の基準を確認してください。

  1. セキュリティ: 最新リリースの修正状況と報告済みIssueへのパッチ有無を確認。管理画面をVPNやIP制限で保護し、収集機能・テンプレート編集は管理者専用に絞る。
  2. ライセンス: SPDX未確定（NOASSERTION）のため、商用利用・改変・再配布の可否をライセンス文で事前確認する。
  3. 実行環境: PHP 8系での不具合報告を踏まえ、検証済みバージョンに固定し、本番投入前に回帰テストを実施する。
  4. アップグレード: カスタムテンプレート・API呼び出し・決済連携の棚卸しと、差分確認・ロールバック手順を用意する。
  5. コミュニティとドキュメント: 資料は中国語中心であり、日本語情報やサポート体制を前提にしない。
  6. 機能適合: 動画・漫画・記事の一括管理という目的に合致するか。特に収集機能に依存した構成はSSRFの攻撃面が集中するため、利用範囲を制限する。
  7. 引き継ぎ: 既存サイトを引き継ぐ場合は、バージョン特定、カスタマイズ差分の棚卸し、過去のアップグレード履歴の確認が必要。

制約と不明な点

  • 本記事は公開リポジトリ・リリース・Issueの観察に基づいており、インストール、動作試験、性能測定、本番運用の検証は行っていません。
  • READMEの「軽量・高速・低コスト・簡単」等の記述は開発者による主張であり、独立した検証結果ではありません。
  • セキュリティIssueの再現性、実害、修正状況、影響範囲は本記事では確認していません。
  • ライセンスのNOASSERTIONは、商用利用や改変・再配布の条件が未確定であることを意味します。
  • 日本語の公式ドキュメントや日本市場向けサポートの有無は、今回の観察範囲では確認できていません。

総評: どのような事業者に向くか

結論: 現時点では、専任のPHP保守体制を持たない事業者への本番採用を推奨しません。動画・漫画コンテンツを1つのCMSで管理する目的には機能面で合致する可能性がありますが、最新リリースに報告済みのRCE・SSRF関連Issueがあること、PHP 8対応とアップグレード互換性に不安が残ること、ライセンスが未確定であることを踏まえると、導入判断は「条件付き」にならざるを得ません。

採用を進める場合は、導入初期にセキュリティ監査とコードレビューを行い、実行環境の固定、管理画面のアクセス制御、アップグレード・ロールバック手順の整備をセットで計画してください。既存のMacCMS10サイトを引き継ぐ場合は、バージョンとカスタマイズ差分の棚卸し、決済・収集・コメント等の依存機能の動作確認が第一歩になります。こうした監査・移行・引き継ぎ支援は、PHP CMSを長期運用する事業者にとって実際に必要になる領域であり、専門チームの関与がリスク低減につながります。

出典

同じ問題でお困りですか？ 障害、攻撃、アップグレード、保守不在が業務に影響している場合は、調査から修復まで対応します。 相談する

Xiang Peng (Penn)

ヘルプを依頼