しらべベース / 全サイトを探すアカウント防犯しらべの条件検索・比較保存範囲・台帳

Dokployの脆弱性とは？ OSコマンドインジェクションでサーバー乗っ取りの恐れ（2026年9月18日公表）

・ 更新 ・ アカウント乗っ取り・注意喚起速報ニュース編集部（AI 執筆）

アカウント乗っ取りパスワード流出不正ログイン二段階認証フィッシングDokployPaaSサーバー管理

この記事のポイント: JPCERT/CC と IPA は2026年9月18日、セルフホスト型 PaaS「Dokploy」に OS コマンドインジェクションの脆弱性があると公表しました（CERT/CC VU#280377・2026年9月17日公表）。認証済みアカウントがバックアップ・リストア機能を悪用すると、root 権限で動作する Dokploy プロセスとして任意のコマンドを実行され、サーバーを完全に乗っ取られる恐れがあります。対策は 0.29.13 以降へのアップデートです。

Dokployの脆弱性とは？ OSコマンドインジェクションでサーバー乗っ取りの恐れ（2026年9月18日公表）

セルフホスト型のデプロイ基盤「Dokploy」に、データベースのバックアップ・リストア処理における OS コマンドインジェクションの脆弱性が存在します（出典: JVN）。認証済みのアカウントがこの機能を悪用すると、Dokploy プロセスが既定で root 権限で動作しているため、ホスト上で任意のコマンドを root として実行され、サーバーを完全に乗っ取られる恐れがあります。対策は 0.29.13 以降へのアップデートです（出典: CERT/CC）。

何が起きたか（要点）

米国の CERT/CC が2026年9月17日に Vulnerability Note VU#280377 を公表し、JPCERT/CC と IPA も2026年9月18日に JVN として公表しました（出典: JVN）。ユーザーの入力がサニタイズされないままシェルコマンドに組み込まれることが原因で、シェルのエスケープやメタ文字の制限なしに /bin/bash を子プロセスとして起動するヘルパーに渡されるとしています（出典: CERT/CC）。

影響するバージョン

CERT/CC の Vulnerability Note では、影響を受けるバージョンとして Dokploy 0.29.8、0.29.11、および canary ブランチのコミット 24b02f5 が挙げられています（出典: CERT/CC）。利用バージョンは Dokploy の管理画面で確認できます。

運用者が今すべきこと

  1. 修正版へのアップデート: Dokploy 0.29.13 以降へアップデートしてください。CERT/CC は直ちにアップデートすることを推奨しています（出典: CERT/CC）。
  2. アップデートできない場合の緩和策: 既定のバックアップ権限を無効化し、必要なユーザー・ロールのみに権限を制限してください（出典: CERT/CC）。
  3. アカウントの棚卸し: 攻撃の前提条件が認証済みアカウントです。不要なアカウントの削除、パスワードの再設定、二段階認証の有効化を推奨します（この項目は本メディアとしての一般的な推奨で、CERT/CC が指示した対策ではありません）。

よくある質問

Q. Dokployの脆弱性（VU#280377）とは何ですか？

セルフホスト型 PaaS「Dokploy」のデータベースのバックアップ・リストア処理にある OS コマンドインジェクションの脆弱性です。認証済みアカウントが悪用すると、root 権限で動作する Dokploy プロセスとして任意のコマンドを実行され、ホストを完全に乗っ取られる恐れがあります。CERT/CC が2026年9月17日に公表し、JVN では2026年9月18日に公表されました（出典: JVN・CERT/CC）。

Q. Dokployの対策はどうすればよいですか？

Dokploy 0.29.13 以降へのアップデートが対策です（出典: CERT/CC）。アップデートできない環境では、既定のバックアップ権限を無効化して必要なユーザー・ロールのみに制限することが緩和策として挙げられています（出典: CERT/CC）。

Q. 影響を受けるバージョンはどれですか？

0.29.8、0.29.11、canary ブランチのコミット 24b02f5 が影響を受けるバージョンとして挙げられています（出典: CERT/CC）。

Q. この脆弱性でサーバー乗っ取りは起きていますか？

執筆時点（2026年9月29日）でこの脆弱性を悪用した攻撃や被害事例の公表は確認できていません。ただし root 権限での任意コマンド実行が可能で、同一インスタンス上の他テナントの秘密認証情報の窃取にもつながるため、0.29.13 以降への早急なアップデートが必要です（出典: CERT/CC）。

アカウント乗っ取り・パスワード流出の注意喚起を速報でお届けしているのが、このメディア「アカウント乗っ取り・注意喚起速報ニュース」です。サーバー基盤の脆弱性のように「今すべきこと」が変わる発表は、一次情報だけをもとに当日お届けします。

出典: JVN（JVNVU#94707104 DokployにおけるOSコマンドインジェクションの脆弱性）、2026年9月18日公開（2026年9月29日取得）。CERT/CC Vulnerability Note VU#280377、2026年9月17日公表（2026年9月29日取得）。

この記事は AI が一次ソースを読んで執筆しました。数値と日付は出典に記した公式情報の執筆時点の値です。誤りを見つけたら訂正の窓口へお知らせください。確認のうえ本文を直し、訂正履歴に残します。編集方針