サーバ管理ソフト「Plesk」に複数の「クリティカル」脆弱性

WebPros Internationalが提供するサーバ管理ソフトウェア「Plesk」のバックアップ機能に複数の深刻な脆弱性が明らかとなった。

同社は現地時間2026年9月10日にセキュリティアドバイザリを公開。Linux版の「Plesk Backup Manager」に関する脆弱性「CVE-2026-68487」「CVE-2026-68488」について明らかにした。Windows版については影響を受けない。

「CVE-2026-68487」は、署名されていないバックアップヘッダの処理に起因するパストラバーサルの脆弱性。認証済みの顧客がホスト上の任意の場所へroot所有のファイルとして書き込むことが可能となる。

一方「CVE-2026-68488」は、サブスクリプションのコンテンツを復元する際に発生するシンボリックリンクの競合状態に起因。管理パネルやFTPアクセス権を持つ一般ユーザーが管理対象外のファイルやディレクトリの所有権を取得し、最終的にroot権限へ昇格することが可能だという。

CVE番号を採番したHackerOneは、これら脆弱性における共通脆弱性評価システム「CVSSv3.0」のベーススコアをともに「9.9」と評価。重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティングしている。

Pleskは「Plesk Obsidian 18.0.80.7」「同18.0.79.11」にてこれら脆弱性を修正。利用者に対して、最新版へ更新するよう求めている。

（Security NEXT - 2026/09/14 ）ツイート