「Plesk」のXML API関連に複数の深刻な脆弱性

WebProsが提供するサーバ管理ソフト「Plesk」の複数の深刻な脆弱性が明らかとなった。アップデートでいずれも修正している。

同社は2026年7月2日および7日にセキュリティアドバイザリを公開し、脆弱性「CVE-2026-48614」「CVE-2026-56843」について明らかにしたもの。

「CVE-2026-48614」は、コンポーネント「Plesk XML API」における認可処理の不備に起因する脆弱性。認証済みユーザーがroot権限で任意のファイルを書き込むことが可能となり、基盤となるサーバの権限が取得されるおそれがある。

一方、「CVE-2026-56843」は、「XML APIプロトコル」の処理に確認された脆弱性。低権限の利用者が、他テナントのFTP認証情報を取得し、意図しないファイルをアップロードして、リモートよりコードを実行することが可能となる。

CVE番号を採番したHackerOneでは、ともに共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.9」とし、重要度は4段階中もっとも高い「クリティカル（Critical）」と評価されている。

「CVE-2026-48614」は、「Plesk 18.0.30」以降、パッチによる対処が行われており、「同18.0.79」以降については脆弱性の影響を受けない。また「CVE-2026-56843」は、「同18.0.79」にて修正された。

（Security NEXT - 2026/07/08 ）ツイート