サポート終了のProxmox VE 7を狙うスキャンが急増、SANSが観測 — ポート8006への総当たりに注意

要点

• SANS Internet Storm Center（ISC）は2026年9月9日、Proxmox VE（Proxmox Virtual Environment） へのスキャン活動が増加していると報告した。観測したのは、同製品の管理画面が使用する ポート8006 に対するスキャンと総当たり（ブルートフォース）の増加である。
• 背景には、Proxmoxが約1週間前に公開した バージョン7のみに影響する脆弱性のアドバイザリ がある。バージョン7はすでに数年前にサポートが終了しているが、公表後に攻撃者や研究者とみられるアクセスが増えているとSANSは分析している。
• SANSが示したログでは、/api2/json/access/ticket への不正ログイン試行や、特徴的なフィンガープリント用のパスへのアクセスが確認されている。

SANSが観測したスキャンの内容

SANS ISCのJohannes Ullrich氏が2026年9月9日に公開した日誌によると、ポート8006へのスキャンの増加に加え、次のような活動が観測されている。

総当たり攻撃の例

SANSは次のようなリクエストを例示している。

POST /api2/json/access/ticket HTTP/1.1
Host: [redacted]:8006
User-Agent: Go-http-client/1.1
Content-Type: application/x-www-form-urlencoded

password=Ww778899&username=root@pam

Proxmox VEのプロキシログでは、ログイン失敗は 401 で記録される。SANSが示したログでは、同一IP（例: 62.60.130.193）から短時間に複数回の401と、TLSを使わない初回試行に伴う 308（恒久的なリダイレクト）が交互に記録されていた。攻撃者が最初に平文HTTPでPOSTを送り、リダイレクト後に再試行する挙動だとSANSは説明している。

フィンガープリントと別の認証エンドポイント

SANSは、古典的なフィンガープリントとして /pve2/images/logo-128.png へのアクセスや、/api2/extjs/access/ticket へのPOSTも確認している。後者は /api2/json/access/ticket と挙動が異なり、常にHTTP 200を返すが、JSONペイロード内にログイン失敗のメッセージが含まれる。プロキシログだけでは成否が分かりにくく、レスポンスサイズが 77バイト の場合は失敗を示すとみられるとSANSは述べている。

影響範囲と注意点

SANSによると、Proxmoxが公表した脆弱性は バージョン7のみ が影響を受け、現行のサポート対象バージョンは対象外である。バージョン7はすでにサポートが終了しており、修正の提供状況や移行の可否はProxmoxの案内を確認する必要がある。

ただし、管理画面（ポート8006）をインターネットに公開している環境では、脆弱性の有無にかかわらず、今回のような総当たりやスキャンの標的になる。SANSは、PVEのプロキシログで401や308の増加がないかを確認することを推奨している形で、観測結果を共有している。

Proxmox VEは国内でも検証環境や中小規模の仮想化基盤として利用されることがあり、管理画面を社外からアクセス可能にしている場合は、公開範囲の見直しが重要になる。

SANSが共有した観測事実

SANS ISCの日誌は、攻撃の帰属や特定の脆弱性の悪用成功については断定していない。報告の主眼は、Proxmox VE 7のアドバイザリ公表後にポート8006へのスキャンが増えたという観測事実 と、実際に観測されたリクエスト・ログの特徴を共有することにある。SANSは追加の所見として、フィンガープリントや別エンドポイントを使った試行にも注意が必要だとしている。

出典

• https://isc.sans.edu/diary/33324