【ITニュース解説】Proxmox VE Exposure: Why the Port 8006 Count Is Not the Number That Matters

Proxmox VEの脆弱性に関する今回のニュースは、インターネット上に公開されているProxmox VEのシステムがどれくらいあるのか、そしてそのうちどれだけが危険な状態にあるのかを把握する際に、数字の解釈を誤ると重大な結果につながることを教えてくれる。

Proxmox VEは、物理的なサーバー上で複数の仮想マシン（仮想的なコンピューター）を効率的に稼働させるための「仮想化プラットフォーム」と呼ばれるソフトウェアである。データセンターや企業だけでなく、個人レベルでもサーバー環境を構築する際に広く利用されている。このProxmox VEには、Webブラウザから管理するためのインターフェースがあり、これはデフォルトで「ポート8006」というネットワーク上の特定の入り口を使用する。

今回発表された脆弱性「PSA-2026-00043-1」は、このProxmox VEの管理インターフェースに存在する「認証バイパス」の問題である。具体的には、Proxmox VEのバージョン7.xから8.0.3までのシステムにおいて、「libpve-access-control」というアクセス制御を行うプログラムに欠陥があった。この欠陥により、もし二段階認証（2FA）が設定されていないアカウントの場合、特定のパラメーター（tfa-challenge）がリクエストに含まれていると、通常のパスワードによる認証プロセスがスキップされてしまうのである。つまり、攻撃者はProxmox VEのAPI（他のソフトウェアからProxmox VEを操作するための窓口）にアクセスできれば、管理者アカウントである「root@pam」のような、通常二段階認証が設定されていないアカウントに対して、パスワードを知らなくても任意のチケット値を送るだけで認証を突破し、管理者権限でログインできてしまうのだ。実際に、この脆弱性を悪用してシステムに侵入し、データを暗号化して金銭を要求する「恐喝」攻撃が発生したことが確認されている。この攻撃方法はすでに詳細が公開されており、これによりさらに攻撃が加速する可能性が指摘されている。

インターネット上に存在する脆弱なシステムを特定するために、さまざまな検索方法が用いられるが、その結果の解釈には非常に注意が必要である。最も単純な方法として、Proxmox VEのデフォルトポートである「ポート8006」を使用しているサービスをインターネット全体で検索すると、記事執筆時点でおよそ400万件以上もの結果が得られた。しかし、この数字をProxmox VEのインスタンス数と見なすのは間違いである。ポート8006はProxmox VEに登録されているポートではあるが、このポートを使用しているサービスはProxmox VEに限定されるわけではない。他の多くのサービスもポート8006を使用する可能性があるため、この数字にはProxmox VEとは関係のないサービスが多数含まれている。したがって、この400万件という数字をProxmox VEの数と解釈することは、実態を大きく誤って認識することになり、誤解を招く。特定のポートでサービスが稼働していることと、特定の製品が稼働していることは異なる情報なのである。

より正確にProxmox VEのインスタンス数を把握するためには、アプリケーションの「フィンガープリント」（アプリケーションの種類を特定するための特徴情報）を活用した検索が有効である。例えば、「app="Proxmox Virtual Environment"」という条件で検索すると、およそ3.4万件の結果が得られた。これは、ZoomEyeというインターネットスキャンサービスが、その特徴から「Proxmox Virtual Environment」であると識別したサービスの数を示している。しかし、この数字も「脆弱なインスタンス」の数を直接的に示しているわけではない。この中には、すでにセキュリティパッチが適用されているインスタンスや、二段階認証が適切に設定されているインスタンス、あるいは攻撃者が外部から到達できないネットワーク内に設置されているインスタンスも含まれる可能性があるからだ。

さらに、「app="Proxmox"」という、より広範なアプリケーション名で検索すると、およそ40万件の結果が得られた。この大きな差は、アプリケーションの識別方法の違いによるものである。より具体的な製品名で識別されたものだけでなく、Proxmoxという単語を含む幅広い識別結果が含まれているため、Proxmox VE以外の関連するシステムやサービスが含まれている可能性も考慮する必要がある。また、ウェブサイトの「タイトル」に含まれる情報に基づいて検索する方法もあり、「title="Proxmox Virtual Environment"」で検索すると、およそ16万件の結果が得られた。これは、Proxmoxの管理インターフェースのHTMLタイトルに製品名が含まれていることに基づいている。これらの異なる検索結果は、それぞれ異なる情報源や識別方法に基づいているため、単純に数字を比較して何かを結論づけることはできない。地域別に絞り込んで検索すると、特定の国（例えば中国）での露出度が高いことが示されるが、これもリスクが集中している場所というよりは、単にProxmox VEのインスタンスが物理的に設置されている場所を示しているに過ぎない。

このProxmox VEの脆弱性が特に重要視される理由は二つある。一つは、影響を受けるバージョンの中に、すでにベンダーのサポートが終了している「PVE 7」ブランチが含まれている点である。PVE 7は、この脆弱性が発見されるよりも前にサポートが終了してしまったため、ベンダーからの公式な修正パッチが提供されない。この脆弱性自体は、PVE 8.0.4のバージョンアップで偶然修正されたものの、PVE 7にはその修正が適用されなかった。そのため、PVE 7を使用しているインスタンスは、同じブランチ内でのアップグレードだけではこの脆弱性を解消できないという深刻な問題を抱えている。

もう一つは、この攻撃が管理インターフェースを通じて行われるという点である。Proxmox VEのような「ハイパーバイザー」（仮想マシンを動かすための土台となるソフトウェア）への管理者権限（rootアクセス）が奪われると、そのProxmox VE上で稼働しているすべての仮想マシンやコンテナが危険にさらされる。つまり、たった一つのProxmox VEが侵害されるだけで、その上に構築された複数のシステム全体が不正に操作されたり、データが盗まれたりする可能性があり、被害が広範囲に及ぶ恐れがあるのだ。実際に、あるホスティングプロバイダーのPVE 7ホストがインターネットからアクセス可能で、簡単に発見できる状態にあり、攻撃者によって標的とされた事例も報告されている。

これらの調査結果は、数万ものProxmox VEインスタンスがインターネットに公開されており、その中にはパスワードなしで管理者権限が奪われる可能性のある脆弱なバージョンが含まれているという結論を裏付けている。特に、サポートが終了しているPVE 7を使用しているインスタンスは、通常のアップグレードだけでは脆弱性を解消できないという状況に直面している。

Proxmox VEを運用している組織や個人が取るべき具体的な対策は以下の通りである。まず、現在使用しているProxmox VEの正確なバージョンを確認すること。次に、ポート8006が、社内ネットワークのような信頼できるネットワークの外からアクセス可能かどうかを確認する。もしサポートされているバージョン（PVE 8.xなど）を使用しているのであれば、速やかにバージョン8.0.4以降にアップグレードするべきである。一方、サポートが終了しているPVE 7ブランチを使用している場合は、管理者アカウント「root@pam」や他の管理者アカウントに二段階認証（2FA）を有効にすることが非常に重要である。これにより、パスワードバイパスを防ぐことができる。または、ベンダーが提供している一時的な修正として、「AccessControl.pm」というファイルを修正する方法を適用することも有効な手段である。これらの対策とは別に、最も根本的な対策として、ポート8006への外部からのアクセスを完全に遮断することが推奨される。

万が一、不正なアクセスが疑われる場合には、認証ログを詳細に確認し、「root@pam」によるログイン履歴で、既知の管理者操作と一致しない不審な活動がないかを調べる必要がある。また、心当たりのないスケジュールタスクやユーザーアカウントが作成されていないか、運用チームが設定していない不審な外部へのネットワーク接続がないかなども確認すべきである。もし不正な管理者アクセスが確認された場合は、システム内のデータの整合性が損なわれている可能性が高いとみなし、慎重にデータの復旧やシステムの再構築などの対応を検討する必要がある。

最後に、今回の調査で示されたポート8006の検索数や、各種フィンガープリントによるProxmox VEのインスタンス数は、あくまで特定の時点でのインターネット上の観測結果であり、それぞれ異なる情報源や識別方法に基づいて収集されているため、単純に相互に比較できるものではない。また、これらの数字は、実際に脆弱な状態にあるインスタンスの正確な数や、既に攻撃されたインスタンスの数を直接的に示すものではない点に留意すべきである。これらは、インターネットに露出しているProxmox VEのシステム規模を示すための「指標」として捉えるべきである。