「Plesk」のLinux版に権限昇格の脆弱性 - 2月のリリースで修正済み

WebPros Internationalが提供する「Plesk」のLinux版に権限昇格の脆弱性が明らかとなった。2026年2月にリリースされたアップデートで修正済みだという。

同社では現地時間2026年5月28日にセキュリティアドバイザリを更新。ローカル環境で権限の昇格が可能となる脆弱性「CVE-2026-44962」について明らかにした。

同脆弱性は、「APS Catalog」の検索機能における入力検証の不備に起因。悪用には低権限が必要となるが、「XPathインジェクション」によってサーバ上で権限を昇格し、任意のOSコマンドを実行できるという。

CVE番号を採番したHackerOneでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.9」、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

同脆弱性は、2026年2月24日、25日にリリースされた「Plesk 18.0.76.2」「同18.0.75.1」にて修正済み。アップデートできない場合は設定ファイルで「APS」を無効化し、脆弱性の影響を緩和するよう求めている。

（Security NEXT - 2026/06/01 ）ツイート