Plesk Site Importでroot実行の脆弱性、修正版あり
Plesk拡張機能「Site Import」の1.13.2より前の版に、サブスクリプションの所有者ではない利用者がroot権限でコードを実行できる脆弱性があります。1.13.2へ更新し、自社のサーバーに導入されているかを今日のうちに確認してください。
急ぎ度: 早めに
CVSS v4が9.2でroot権限のコード実行に至り、修正版1.13.2がすでに公開されているため、悪用が確認される前に更新しておく価値が高い脆弱性です。
関係があるか
Site ImportをインストールしたPleskのサーバーが対象です。サブスクリプションを複数の顧客や部署に割り当てているホスティング事業者、制作会社、社内の共用サーバーで影響が大きくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Plesk extension "Site Import" | 1.13.2より前のすべての版 | 1.13.2 |
確かめ方
- 1Pleskの管理画面で拡張機能の一覧を開き、Site Importが入っているか、入っていれば版がいくつかを確認します。
- 2サーバーにログインできるなら、
plesk bin extension --listで導入済みの拡張機能と版を一覧できます。 - 3レンタルサーバーなどPleskを事業者が運用している場合は、自社では版を確認できません。事業者に対応状況を問い合わせてください。
何が起きたか
Pleskの拡張機能「Site Import」の1.13.2より前の版に、サブスクリプションの所有者ではない利用者がサーバーのroot権限でコードを実行できてしまう脆弱性があります。
原因は、ドメインとセッションの識別子の検証が不十分なことです。分類はパストラバーサル（CWE-22）で、本来は許されないディレクトリにまで処理が及びます。その結果、権限の高いバックエンド側のセッションを、利用者が管理しているディレクトリに向けさせることができます。
ベンダーのPleskは1.13.2で修正しています。
攻撃の流れ
-
1
識別子を細工
Site Importに渡すドメインとセッションの識別子に、検証をすり抜ける値を使います。
-
2
パスをそらす
パストラバーサルで、処理の対象を想定外のディレクトリへ向けさせます。
-
3
高権限の処理を誘導
権限の高いバックエンドのセッションが、利用者の管理下にあるディレクトリを読み込みます。
-
4
rootでコード実行
利用者が置いた内容がroot権限で実行されます。
どう悪用されるか
起点になるのは、サブスクリプションの所有者ではない利用者です。ネットワーク越しに仕掛けられ、攻撃の複雑さは低く、被害者側の操作も要りません。CVSS v4のベクターは認証を要さない評価ですが、脆弱性の説明文ではサブスクリプションの利用者が前提とされています。どの権限の持ち主まで起点になり得るかは、ベンダーの告知で確認してください。
成功すると、サーバー上でrootとして任意のコードが動きます。顧客ごとに分けていたはずのサブスクリプションの境界が崩れ、同じサーバーにある他の顧客のサイトやデータベース、メール、設定ファイルに手が届くとみられます。
今すぐやること
-
1
Site Importの導入と版を確認する
管理画面の拡張機能一覧か、サーバー上のコマンドで確認します。入っていなければ、この脆弱性の対象外です。
plesk bin extension --list -
2
1.13.2に更新する
導入済みで1.13.2より前なら、修正版の1.13.2に更新します。複数台あるときは、顧客を多く収容しているサーバーから先に進めます。
-
3
不審な痕跡がないか見ておく
更新の前後で、Site Importの利用履歴と、利用者が管理するディレクトリに身に覚えのないファイルがないかを見ます。root権限で不審なプロセスや新しいアカウント、定期実行の設定が増えていないかも確認します。
-
4
ベンダーの告知で最新の情報を確認する
PleskのサポートサイトにあるCVE-2026-107246の告知で、回避策の有無、悪用の状況、更新の手順を確認します。
すぐ更新できないとき
すぐに更新できないときは、Site Importを使う予定がなければ、更新までのつなぎとして拡張機能を無効化または削除することを検討できます。サブスクリプションの利用者に、不要な権限や追加のアカウントを渡していないかも見直してください。ベンダーが案内する回避策があるかは、告知で確認してください。
背景
Pleskは、Webサイト、メール、データベース、DNSを1台のサーバーでまとめて管理するコントロールパネルです。ホスティング事業者や制作会社が、顧客ごとに「サブスクリプション」を分けて運用する使い方が多く見られます。サブスクリプションの利用者は、サーバーの管理者ではありません。root権限に届くのは、本来は事業者側の管理者だけです。
今回の脆弱性は、この線引きを越えられる点が問題です。Site Importは、名前から見て既存サイトをPleskに取り込む拡張機能と考えられます。サイトの移行では外部から渡された名前やパスを扱い、さらにroot権限で動く処理が必要になりがちです。そのため、識別子の検証に抜けがあると、パストラバーサルが権限昇格につながります。
よくある質問
Q.自社専用のサーバーで、利用者が社内の人だけでも対応は必要ですか。
Q.レンタルサーバーがPleskを使っている場合、自分で何かする必要がありますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| WebProsPlesk extension "Site Import" |
1.13.2 未満→ 1.13.2 |
1.13.2 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The Plesk extension "Site Import" before 1.13.2 does not properly validate domain and session identifiers, allowing path traversal. This lets a non-owner subscription user redirect a privileged backend session into a directory they control, resulting in arbitrary code execution as root.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web support.plesk.com
- web nvd.nist.gov
- web github.com