Plesk for LinuxのAPS Application Catalog検索には、入力が安全に処理されずXPathクエリへ挿入されるCVE-2026-44962があります。認証済みの低権限ユーザーがOSコマンドを実行し、ローカル権限を昇格できる可能性があります。HackerOne CNAの評価はCVSS v3.1 9.9 CRITICALで、10.0ではありません。
脆弱性の概要と影響範囲
本脆弱性「CVE-2026-44962」は、Plesk for LinuxのAPSアプリケーションカタログの検索機能におけるXPathインジェクションの不備に起因します。ユーザーが提供した入力が適切にサニタイズされずにXPathクエリに挿入されるため、攻撃者は細工した入力を用いることで、アプリケーションのロジックを迂回し、認証された低権限ユーザーとしてOSコマンドを自由に実行できる状態になります。
これにより、機密性の高い情報へのアクセス、ウェブサイトの改ざん、サーバーリソースの破壊、さらにはサーバー全体の乗っ取りといった壊滅的な被害に繋がる恐れがあります。特に共有ホスティング環境やマルチテナントシステムでは、被害が広範囲に及ぶ可能性が高く、即座の対応が求められます。
具体的な影響・攻撃シナリオ
攻撃者は、Pleskへの有効なログイン情報（たとえそれが非常に低い権限のものであっても）を保有していれば、APSアプリケーションカタログの検索機能を通じて悪意のあるXPathクエリを注入します。このクエリはサーバーのバックエンドで処理され、結果として攻撃者の意図する任意のOSコマンドがroot権限で実行されることになります。
例えば、サーバー内の設定ファイル（例: `/etc/passwd`）の読み取り、重要なサービスの停止、さらにはマルウェアのアップロードと実行などが可能です。これにより、Pleskを運用するウェブサイトや関連するデータが完全に侵害されるリスクがあります。
エンジニアが今すぐ取るべき対策
利用系列に応じてPlesk 18.0.75.1または18.0.76.2以上へ更新します。更新後は低権限利用者、追加ファイル、ジョブ、サービス変更、管理ログを確認してください。
推測したAPS経路のNginx遮断は、正規機能を壊しながら攻撃を防げない可能性があります。更新できない場合は独自ルールを作らず、Pleskサポートから利用版に適合する暫定策を入手してください。
📦