「Harbor」に脆弱性、初期PW未変更で不正アクセスのおそれ

コンテナイメージの管理や配布を行うための「コンテナレジストリ」である「Harbor」に脆弱性が明らかとなった。初期設定パスワードをそのまま使用している場合に影響を受ける。

管理者アカウントのデフォルトパスワードとして、平文でハードコードされた認証情報が使用される脆弱性「CVE-2026-4404」が確認された。

容易に推測できるパスワードが初期設定で割りあてられるため、変更せずに運用している場合、ウェブ管理画面の認証をバイパスされるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.4」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

「Harbor 2.15.0」および以前のバージョンに脆弱性は存在。2017年に問題が指摘されており、初回ログイン時にデフォルトパスワードから変更するよう呼びかけられていた。

ソースリポジトリにおいて、初期パスワードの削除やインストール時にパスワード設定を求める仕様変更の提案が行われている。

（Security NEXT - 2026/03/24 ）ツイート