nexsight cyber intelligence / signal online wire desk · issue 629
NEXSIGHT CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

脆弱性 / VULNERABILITY / HOSTING PANEL

Plesk for Linuxのバックアップ機能にCVSS 9.9の脆弱性2件 — 顧客の一般権限からroot権限を奪われる恐れ、18.0.80.7／18.0.79.11で修正

WebPros Internationalは、サーバー管理パネルPleskのバックアップ機能「Backup Manager」の脆弱性CVE-2026-68487とCVE-2026-68488（いずれも2026年9月10日公開）を公表し、同日の更新で修正版を提供した。いずれもCVSS v3.0の基本値は9.9の「クリティカル」で、顧客側の一般権限からサーバー全体のroot権限に到達できる。修正版は18.0.80.7と18.0.79.11で、Windows版は影響を受けない。

脆弱性 NEXSIGHT CYBER WIRE 編集部 4–5 min read
攻撃手法
ソフトウェア

要点

  • サーバー管理パネルPleskのバックアップ機能「Backup Manager」に2件の脆弱性（CVE-2026-68487、CVE-2026-68488）があることを、開発元のWebPros Internationalが公表した（CVEは2026年9月10日公開）。CVEレコードによると、いずれもCVSS v3.0の基本値は**9.9（クリティカル）**である。
  • CVE-2026-68487は、署名のないバックアップヘッダーの処理に起因するパストラバーサル（CWE-36）である。Pleskの説明によると、認証済みの顧客がroot所有の任意のファイルをホストのファイルシステムへ書き込める状態で、サーバー全体の侵害につながる。
  • CVE-2026-68488は、契約内容を復元する際のシンボリックリンクの競合状態（TOCTOU、CWE-367）である。パネルとFTPの一般権限しか持たない利用者が、自分の契約外にあるファイルやディレクトリの所有権を取得し、最終的にサーバーのroot権限を得られるとされる。
  • 影響を受けるのはLinux版で、Pleskは18.0.80.7または18.0.79.11以降への更新を呼びかけている。Windows版は影響を受けないとされている。

脆弱性の内容 — バックアップの「ヘッダー」と「復元処理」に不備

Pleskが公開した2本のアドバイザリと、CVEレコードの記載は次のとおりである。

**CVE-2026-68487（署名のないバックアップヘッダーによるパストラバーサル）は、Pleskの説明では「PleskのBackup Managerにおけるパストラバーサルにより、認証済みの顧客がrootとして任意のファイルを書き込む」ものとされている。脆弱性の分類はCWE-36（絶対パストラバーサル）**で、影響について同社は「認証済みの顧客がroot所有の任意のファイルをホストのファイルシステムへ書き込むことができ、サーバー全体の侵害につながる」と記している。

**CVE-2026-68488（復元時のシンボリックリンクの競合状態）**は、CVEレコードでは「復元処理におけるTOCTOU（検査と使用の間の時間差）の競合状態により、安全でないシンボリックリンクの追跡が発生し、ファイルやディレクトリの所有権を奪うことでローカルの権限昇格が可能になる」と説明されている。Pleskのアドバイザリによると、パネルとFTPへの通常のアクセス権を持つ顧客が、所有していないファイルやディレクトリの所有権を取得し、最終的にサーバーへの完全なrootアクセスを得られる。

両件ともCVSS v3.0の基本値は9.9で、ベクターは「AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H」である。ネットワーク経由で悪用でき（AV:N）、攻撃に必要な権限は低く（PR:L、＝顧客アカウント程度）、利用者の操作は不要（UI:N）、影響は他のコンポーネントにも及ぶ（S:C）という評価になっている。

CVEは2026年9月10日に公開され、発見者についてPleskは、Ali Mustafa（rz1027）氏とabed1526氏が責任ある開示を行ったとして謝意を表明している。なお、PleskのアドバイザリとCVEレコードには、これら2件が野外で悪用されたという記載はない。米CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）の「既知の悪用脆弱性（KEV）」カタログにも、2026年9月11日版の時点で2件は登録されていない。

影響を受けるバージョンと修正版

Pleskのアドバイザリが示す対応関係は次のとおりである。

製品 影響を受けるバージョン 修正版
Plesk for Linux 18.0.80.6以前 / 18.0.79.10以前 18.0.80.7 / 18.0.79.11
Plesk for Windows 影響なし 対象外

Pleskの「Change Log for Plesk Obsidian」によると、18.0.80 Update 7と18.0.79 Update 11はいずれも2026年9月10日に公開され、「この更新は重大なセキュリティ問題に対処するものである。可能な限り速やかに適用することを強く推奨する」と記載されている。同社はアドバイザリの「Call to action」で、Plesk Obsidian 18.0.79.11または18.0.80.7以降へ更新することを求めている。

Pleskが示す対応

Pleskが公表している対応は、Plesk Obsidian 18.0.79.11または18.0.80.7以降への更新である。更新の手順は同社の案内（How to update Plesk Obsidian to the latest build）に従う。同社は修正版の公開と同時に「重大なセキュリティ問題」への対処であることを明示しており、適用を強く推奨している。

日本の利用者への影響

Pleskは、ホスティング事業者が顧客ごとにWebサイトやメール、バックアップを管理するために使うサーバー管理パネルである。自社でサーバーを運用する組織が、サイトやサービスの管理画面として採用する場合もある。

今回の2件に共通する特徴は、管理者権限ではなく顧客側の一般的な権限（パネルとFTP）から出発して、最終的にサーバー全体のroot権限に到達できる点である。Pleskの説明では、CVE-2026-68487は「認証済みの顧客」が、CVE-2026-68488は「パネルとFTPへの通常のアクセス権を持つ顧客」が起点となる。顧客アカウントを持つ利用者を完全に信頼できる場合でも、影響を考慮する必要がある。Linux版のPleskを運用している組織は、稼働中のバージョンを確認し、Pleskが「可能な限り速やかに適用することを強く推奨する」としている18.0.80.7または18.0.79.11以降への更新を検討することが求められる。Plesk for Windowsは今回の2件の影響を受けないとされており、同社のアドバイザリでも修正版は「該当なし」とされている。

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。