JVNDB-2026-023278

Portainer.ioのPortainerにおける認証に関する脆弱性

Portainer Community Editionは、Docker、Swarm、Kubernetes、およびACI環境を管理するために使用できる、コンテナ化されたアプリケーション向けの軽量サービス配信プラットフォームです。バージョン2.39.0から2.39.3および2.40.0から2.43.0の間、未初期化のインスタンスのセットアップ開始から5分間の間、認証なしで復元および管理者初期化のエンドポイント（/api/restore および /api/users/admin/init）にアクセス可能な状態にありました。このため、ネットワーク攻撃者が細工されたバックアップを復元したり、最初の管理者アカウントを作成して完全な管理者権限を取得することが可能でした。この問題はバージョン2.39.4および2.43.0で修正されています。

Portainer.io

• Portainer 2.39.0 以上 2.39.4 未満
• Portainer 2.40.0 以上 2.43.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unauthenticated Restore and Admin-Account-Creation Endpoints Allow Admin Takeover on Uninitialised Portainer Instances  Advisory  portainer/portainer  GitHub

1. 不適切な認証(CWE-287) [その他]
2. 情報不足(CWE-noinfo) [NVD評価]

1. CVE-2026-55761

1. National Vulnerability Database (NVD) : CVE-2026-55761
2. 関連文書 : feat(security): require setup token for admin init and restore [BE-13…  portainer/portainer@d2b56ef  GitHub
3. 関連文書 : Release Release 2.43.0 STS  portainer/portainer  GitHub
4. 関連文書 : Add Endpoint Information to UI  Issue #2770  portainer/portainer
5. 関連文書 : Release Release 2.39.4 LTS  portainer/portainer  GitHub
6. 関連文書 : feat(security): require setup token for admin init and restore [BE-13…  portainer/portainer@49f1910  GitHub

• [2026年07月13日]
    掲載