1. セキュリティ対策ラボ
  2. セキュリティニュース
  3. 情報セキュリティ
  4. サーバー管理ツール「Plesk for Linux」に致命的な脆弱性(CVE-2025-66430)

サーバー管理ツール「Plesk for Linux」に致命的な脆弱性(CVE-2025-66430)

セキュリティニュース

投稿日時: 更新日時:

サーバー管理ツール「Plesk for Linux」に致命的な脆弱性(CVE-2025-66430)

サーバー管理ツール「Plesk for Linux」に、一般ユーザー権限から root 権限まで乗っ取られるおそれのある致命的な脆弱性が見つかりました。
脆弱性番号は CVE-2025-66430、CVSSスコアは 9.1（Critical） と評価されています。

影響を受けるバージョン

Pleskの発表によると、今回の脆弱性は Linux版 Plesk が対象で、少なくとも以下の系統で問題が確認されています。

  • Plesk Obsidian 18.0.70 ～ 18.0.74

  • 古い系統の Plesk Onyx も影響対象

これらのバージョンで、かつ Password-Protected Directories 機能にアクセスできるユーザーが存在するサーバーは、すべてリスクがある と考えてください。

修正済みバージョン

Pleskはすでに修正パッチを含んだ マイクロアップデート を公開しています。

  • Plesk 18.0.73 / 18.0.74

    • それぞれに対して
      18.0.73.5 / 18.0.74.2 のマイクロアップデートがリリース済み

  • Plesk 18.0.70 ～ 18.0.72

    • Pleskの「How to install Plesk updates」に従って、最新のマイクロアップデートまで更新することが推奨

  • Plesk Onyx

    • Onyx向けの修正も提供されており、サポートされる最新状態までのアップデートが必要

Pleskは「アップデートを適用することで脆弱性は解消される」と案内しており、管理者は最優先で更新作業を行う必要があります。

脆弱性の概要

問題が見つかったのは、Pleskの機能のひとつである 「Password-Protected Directories（パスワード保護ディレクトリ）」 です。

本来はディレクトリをBASIC認証などで保護するための機能ですが、その実装の不備により、

  • 任意のデータを Apacheの設定ファイルに注入できる

  • その結果として、
    Pleskの一般ユーザー（ホスティングユーザー）でも root 権限のコマンドを実行できてしまう

という、ローカル権限昇格（Local Privilege Escalation：LPE） が可能になることが判明しました。

Plesk公式もアドバイザリの中で、

「Password-Protected Directories 機能において Apache 設定への任意データ注入を許す脆弱性が見つかった」
「この脆弱性を悪用することで、Pleskユーザーが root ユーザーとして任意のコマンドを実行できる」

と認めており、発見と責任ある開示を行った Philip Okhonko 氏に謝意を示しています。

何が危険なのか

この脆弱性が厄介なのは、Pleskパネルのアカウントを持つユーザーであれば悪用できる点です。

共有サーバーやホスティング環境では、

  • 1台のサーバーを複数の顧客が共同利用している

  • 各顧客にPleskのログイン権限が配布されている

というケースが一般的です。このような環境で本脆弱性が残っていると、

  1. ある1ユーザー（あるいはそのアカウントを奪った攻撃者）が

  2. Password-Protected Directories 機能を悪用して Apache 設定を改ざんし

  3. root 権限の任意コマンドを実行

  4. 同じサーバー上の 他社サイト・他ユーザーのデータやシステムまで完全に掌握

という、最悪のシナリオにつながりかねません。

関連記事

Apache Tomcatに深刻な脆弱性、DoS攻撃やセキュリティルール回避のリスク- 迅速なアップデートを推奨(CVE-2025-31650)Apache Tomcatに深刻な脆弱性、DoS攻撃やセキュリティルール回避のリスク- 迅速なアップデートを推奨(CVE-2025-31650) Apache Tomcatでリモートコード実行や情報 漏洩のリスクがある脆弱性（CVE-2025-24813）Apache Tomcatでリモートコード実行や情報 漏洩のリスクがある脆弱性（CVE-2025-24813） Apache Tomcatの脆弱性 CVE-2025-24813の悪用を確認、対象者は早急にアップデートをApache Tomcatの脆弱性 CVE-2025-24813の悪用を確認、対象者は早急にアップデートを CISAがApache Tomcatの脆弱性 CVE-2025-24813をKEVに登録、対象者はアップデートが必須CISAがApache Tomcatの脆弱性 CVE-2025-24813をKEVに登録、対象者はアップデートが必須 Apache Parquet Java0の脆弱性(CVE-2025-30065)の検証・検出ツールをF5 Labsが公開Apache Parquet Javaの脆弱性(CVE-2025-30065)の検証・検出ツールをF5 Labsが公開 Apache Tomcat と Camel が狙わる－複数の危険な脆弱性(CVE‑2025‑24813, CVE‑2025‑27636, CVE‑2025‑29891)Apache Tomcat と Camel が狙わる－複数の危険な脆弱性(CVE‑2025‑24813, CVE‑2025‑27636, CVE‑2025‑29891) Apache Igniteでリモートコードが実行できる脆弱性(CVE-2024-52577)Apache Igniteでリモートコードが実行できる脆弱性(CVE-2024-52577) Apache TomcatでCGIセキュリティ制約バイパスの脆弱性(CVE-2025-46701)Apache TomcatでCGIセキュリティ制約バイパスの脆弱性(CVE-2025-46701) Google Chrome、、信頼するルート証明書から中華電信とNetLockを除外Google Chrome、信頼するルート証明書から中華電信とNetLockを除外