注目★★★★★GitHub Advisory
Portainer 2.43.0未満に未認証管理者乗っ取り
30秒で把握
- 1Portainer未初期化環境で未認証の復元APIから管理者権限を奪取可能
- 2起動後5分間の初期化窓でDB置換や管理者作成APIの悪用が成立
- 32.43.0と2.39.4でX-Setup-Tokenを導入し初期化APIを保護
要約
Portainer の未初期化インスタンスで、未認証の復元APIを悪用して管理者権限を奪取できる脆弱性 CVE-2026-55761 が確認された。攻撃者は起動後5分間の初期化ウィンドウに細工したバックアップを送信し、管理者資格情報を含むデータベースへ置き換えられる。初期管理者作成APIも同じ条件で悪用でき、認証情報やセッション、ローカルアクセスは不要。Portainer 2.43.0 と 2.39.4 で、復元APIと管理者作成APIにX-Setup-Tokenを要求する修正が導入された。2.39.0未満はサポート終了のため、対応ブランチへ更新する必要がある。
あなたへの影響
Portainerをネットワーク公開するチームは、近日中に2.43.0または2.39.4へ更新し、既存の管理者アカウントと資格情報を監査・ローテーションしてください。
推奨：未更新環境では初期化前のAPIをファイアウォールなどで制限し、Docker socket経由のホスト侵害につながる可能性があるため、登録環境の認証情報も確認すべきです。