PleskのAPS Catalogに致命的な脆弱性(CVE-2026-44962)|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年06月03日更新日時: 2026年06月03日

2026年5月29日、Webホスティングコントロールパネル「Plesk」（WebPros製）において、CVSS v3.1スコア10.0（最大値）のXPathインジェクション脆弱性CVE-2026-44962が公式に開示されました。

最大のリスクは、認証済みの低権限ユーザーがPlesk上でLinuxサーバーへの任意OSコマンドを実行できる点です。成功した場合、root権限相当のアクセスを得て、設定ファイルの閲覧・Webサービスの破壊・サーバー全体の掌握が可能になります。複数の顧客が同一サーバーに収容される共有ホスティング環境では、一人の利用者が侵害されることで他の顧客への横断的な侵害につながるリスクがあります。パッチ（バージョン18.0.76.2および18.0.75.1）は2026年2月24〜25日にすでに公開されており、未更新の環境は至急の対応が必要です。本記事では脆弱性の技術的詳細・攻撃シナリオ・緩和策・開示の経緯を解説します。

サマリー

CVE-2026-44962はPleskのAPS Application Catalog検索機能に存在するXPathインジェクション脆弱性。CWE-643。CVSS v3.1スコアは10.0（Critical・最大値）
認証済みかつ低権限のユーザーが脆弱なクエリロジックを操作し、Linuxサーバー上で任意のOSコマンドを実行できる。ローカル権限昇格（LPE）によりroot相当のアクセスが可能
パッチは2026年2月24〜25日にリリース済み。修正済みバージョンはPlesk Obsidian 18.0.76.2（18.0.76 Update 2）および18.0.75.1（18.0.75 Update 1）
CVEの公開は2026年5月29日（バグバウンティプログラム経由の協調開示）。パッチリリースからCVE公開まで約3か月の間、CVEの詳細は非公開だった
即時パッチ適用が困難な場合の暫定回避策として、/usr/local/psa/admin/conf/panel.iniを編集してAPS Catalogを無効化する手順が公開されている
Pleskは後続バージョンでAPS Catalog機能自体を非推奨・削除済み。将来バージョンではこの攻撃面が存在しなくなる

脆弱性の概要—CVSS 10.0が意味する深刻度

GitHubアドバイザリデータベースに登録されたCVE-2026-44962の公式説明によれば、本脆弱性は「PleskのAPS Application Catalog検索機能にXPathインジェクション脆弱性が含まれており、認証済みの低権限ユーザーがサーバー上で任意のOSコマンドを実行できる」というものです。

CVSS v3.1スコアの10.0という最高値は、機密性（Confidentiality）・完全性（Integrity）・可用性（Availability）のすべてに対して完全な影響（Complete Impact）があると評価されたことを示します。脆弱性の発見・報告はセキュリティ研究者のGeorgii Shutiaev氏によるもので、Pleskとの協調開示プロセスを経て開示が行われました。

影響を受けるプラットフォームはPlesk for Linux（Plesk Obsidian）です。Plesk for Windowsへの影響は確認されていません。

パッチの詳細と緩和策—バージョン確認と暫定設定変更

パッチ済みバージョンへの更新（推奨）

修正済みバージョンはPlesk Obsidian 18.0.76.2（18.0.76 Update 2）および 18.0.75.1（18.0.75 Update 1）です。どちらも2026年2月24〜25日にリリースされています。Pleskの自動更新が有効になっている環境では、これらのバージョンが夜間のタスクとして自動的に適用されている可能性があります。現在適用されているバージョンは、Pleskの管理画面の「ホーム」→「システム概要」で確認できます。または、SSHでサーバーに接続して以下のコマンドを実行してください：

plesk version

Pleskの公式アップデート手順では、管理画面から「ツールと設定」→「アップデートとアップグレード」→「コンポーネントのアップデート」、またはSSH経由でplesk installer updateコマンドを実行することでアップデートを適用できます。

即時パッチ適用が困難な場合の暫定回避策

パッチ適用までの間、Pleskフォーラムおよび公式情報によれば以下の手順でAPS Catalogを無効化することで脆弱性の攻撃経路を排除できます：

SSHでサーバーに接続する
/usr/local/psa/admin/conf/panel.ini ファイルを編集する
APS Catalogサブシステムを無効化する設定を追加する
Pleskの管理コンポーネントを再起動して変更を反映させる

ただし、この回避策はAPS Catalogの機能を使用できなくするものであるため、APS経由でアプリケーションを管理している環境では影響を確認したうえで実施してください。なお、Pleskは後続バージョン（18.0.78以降）でAPS Catalog機能そのものを非推奨・削除としており、将来的にはこの攻撃面が消滅します。

XPathインジェクションとは何か—SQLインジェクションとの共通点と相違点

本脆弱性の分類CWE-643は「XPath式内のデータの不適切な無害化（Improper Neutralization of Data within XPath Expressions）」を指します。XPathインジェクションはSQLインジェクションと類似した概念ですが、対象がリレーショナルデータベースではなくXMLドキュメントの問合せ言語（XPath）である点が異なります。

PleskのAPS Application Catalog機能は、アプリケーション情報をXMLベースの構造で管理しており、検索機能がユーザー入力をXPath クエリに直接組み込む実装になっていました。入力値が適切にサニタイズ（無害化）されずにXPathクエリに埋め込まれると、攻撃者はクエリの意図した構造を変形させ、本来アクセスできないはずのデータ取得や、バックエンドシステムでの意図しない処理を引き起こせます。

今回の脆弱性では、このXPath操作がさらに進んで任意OSコマンドの実行にまで到達しています。PleskのAPS Catalog機能がXPath処理の結果をバックエンドの処理ロジックと接続している設計上、クエリの操作が最終的にOSレベルのコマンド実行に繋がる経路が存在したことが深刻度10.0の根拠です。

攻撃シナリオ——低権限ユーザーがrootへ昇格するまでの流れ

ば、本脆弱性の典型的な攻撃シナリオは以下のとおりです。

攻撃者はまず、Pleskにログインできる低権限アカウント（例：ホスティング顧客のユーザーアカウント）を入手します。次にAPS Application Catalogの検索機能に対して、特定の細工を施した検索クエリを送信します。この入力がXPathクエリに組み込まれる際にサニタイズが機能しないため、攻撃者はクエリロジックを操作して意図しない処理をバックエンドに実行させます。最終的に、攻撃者はLinuxサーバー上で任意のOSコマンドをサーバー権限で実行でき、ローカル権限昇格（LPE）によってroot相当のアクセスを得ます。

root権限を得た攻撃者がとり得るアクションとしては、サーバー上のすべての設定ファイル・顧客データ・SSL証明書・データベース認証情報の閲覧、Webサービスの停止・改ざん・バックドア設置、同一サーバー上の他の顧客環境への横断的な侵害（ラテラルムーブメント）などが考えられます。共有ホスティング環境では被害が複数顧客に及ぶリスクが特に高くなります。

開示の透明性問題——NIS2コンプライアンスへの影響

本脆弱性には、技術的な問題とは別に開示の透明性という観点からも注目すべき経緯があります。

パッチがリリースされた2026年2月24〜25日時点で、Pleskのチェンジログには「このアップデートは重大なセキュリティ問題に対応しています。できる限り早急に適用することを強くお勧めします」という一般的な記述のみが掲載され、CVE番号・影響コンポーネント・深刻度・影響範囲などの具体的な情報は提供されていませんでした。

このため、EU NIS2指令（Directive EU 2022/2555）の適用を受けるヨーロッパの事業者（特にドイツのBSIへの報告義務を持つ組織）を中心に、「適切なリスク評価・インシデント報告の判断に必要な情報が得られない」という問題がPleskコミュニティフォーラムで取り上げられました。CVEの詳細な公開は2026年5月29日まで待つことになり、パッチリリースから約3か月の情報の空白が生じました。

日本においてもISMSや個人情報保護法対応の観点から、利用するソフトウェアの脆弱性に関する情報を適時に収集し、対応を文書化することが求められます。今回の事案は、ベンダーがパッチを迅速にリリースしていても、CVE等の詳細情報が遅れて開示されることがある現実を示しており、パッチ適用の要否判断をチェンジログの記述だけで行う限界を示しています。

情報システム担当者が取るべき対応

即時確認事項として、PleskをLinux環境で運用しているすべてのサーバーでバージョンを確認し、18.0.76.2または18.0.75.1が適用されていない場合は直ちにアップデートを実施してください。自動更新を無効化している場合は特に注意が必要です。

共有ホスティング環境の特別対応として、複数顧客が同居するサーバーを管理している場合、一顧客アカウントからのLPEが全顧客に影響する可能性を踏まえ、アップデートの優先度を最高として扱ってください。パッチ適用後も侵害の痕跡（不審なプロセス、新規ユーザーアカウント、スケジュールタスクの変更）を確認することを推奨します。

ベンダー情報の監視体制として、Pleskのセキュリティアドバイザリはsupport.plesk.comとチェンジログ（docs.plesk.com）で公開されています。重要なセキュリティ更新が「critical security issue」という表現のみで提供される場合でも、パッチは速やかに適用する運用ルールを設けることを推奨します。

FAQ

Q. CVE-2026-44962はPlesk for Windowsにも影響しますか？ A. 現時点で確認されている影響範囲はPlesk for Linuxのみです。Plesk for Windowsへの影響は報告されていません。

Q. Pleskの自動更新を有効にしていれば、すでに修正済みですか？ A. Pleskの自動更新機能（毎晩実行のデイリータスク）が有効かつ正常に動作していれば、2026年2月以降に修正済みバージョンが適用されているはずです。ただし、ネットワーク設定や手動での更新ブロックにより自動更新が機能していない可能性もあるため、plesk versionコマンドや管理画面でバージョンを必ず確認してください。

Q. APS Catalogを使用していない環境でも影響を受けますか？ A. APS Application Catalog機能がインストール済みかつ有効化されている環境が主要な対象です。APS Catalogが無効化されている、または削除されている環境ではリスクが低下します。ただし、パッチ済みバージョンへの更新が最も確実な対応です。

Q. XPathインジェクションとSQLインジェクションの違いは何ですか？ A. SQLインジェクションがリレーショナルデータベースのSQL文を操作するのに対し、XPathインジェクションはXMLドキュメントの問合せ言語（XPath）を操作します。どちらもユーザー入力のサニタイズ不備が根本原因であり、深刻度が高い点は共通しています。XPathインジェクションはSQLインジェクションと比べて認知度が低く見過ごされがちですが、今回のように任意コマンド実行にまで到達した場合の影響は同等以上になることがあります。

Q. パッチ適用後に侵害されていないか確認する方法はありますか？ A. 不審なLinuxユーザーアカウントの追加（/etc/passwdの確認）、新規cronジョブの設置（/etc/crontabおよびcron.d/）、不審なプロセスやネットワーク接続（ps auxおよびnetstat -an）、PleskのログにおけるAPS Catalog検索機能への異常なアクセス記録を確認することで、侵害の痕跡を検索できます。侵害が疑われる場合は、外部の専門機関によるフォレンジック調査を検討してください。