CVE-2026-3839は、Unraidの認証リクエスト処理におけるパス・トラバーサル脆弱性です。この脆弱性を悪用されると、認証なしにシステムにアクセスできる可能性があります。影響を受けるバージョンはUnraid 7.2.3です。ベンダーは最新バージョンへのアップデートを推奨しています。
この脆弱性は、攻撃者が認証を完全にバイパスし、Unraidサーバー上の機密情報にアクセスしたり、設定を変更したりすることを可能にします。攻撃者は、認証を回避してシステムに侵入し、ファイルシステムを閲覧、変更、削除する可能性があります。特に、重要なデータが保存されているUnraidサーバーは、深刻な影響を受ける可能性があります。この脆弱性は、認証メカニズムの欠陥を悪用するため、攻撃者は特別な知識やツールを必要としません。
この脆弱性は2026年3月13日に公開されました。現時点では、公開されているPoCは確認されていませんが、認証バイパスの可能性から、悪用されるリスクは高いと考えられます。CISA KEVへの登録状況は不明です。
Organizations and individuals utilizing Unraid NAS devices, particularly those with exposed web interfaces or limited network segmentation, are at risk. Shared hosting environments where multiple users share an Unraid server are especially vulnerable, as a compromise of one user's account could potentially lead to broader system access.
• linux / server:
journalctl -u unraid | grep -i "auth-request.php"• linux / server:
ps aux | grep -i "unraid"• generic web:
Use curl to test the /auth-request.php endpoint with various path traversal payloads (e.g., ../etc/passwd).
curl http://<unraid_ip>/auth-request.php?file=../../../../etc/passwddisclosure
エクスプロイト状況
EPSS
0.40% (60% パーセンタイル)
CISA SSVC
Unraid 7.2.3を使用している場合は、速やかに最新バージョンにアップデートしてください。アップデートが困難な場合は、一時的な回避策として、Unraidサーバーへの外部からのアクセスを制限し、ファイアウォールで特定のポートをブロックすることを検討してください。また、認証リクエストのパスを厳密に検証するカスタムスクリプトを実装することも有効です。アップデート後、システムログを確認し、不正なアクセスがないか確認してください。
Unraid を auth-request.php ファイルのパス トラバーサル脆弱性を修正する 7.2.3 以降のバージョンにアップデートしてください。詳細については、リリースノートを参照してください。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-3839は、Unraid 7.2.3におけるパス・トラバーサル脆弱性であり、認証をバイパスしてシステムにアクセスできる可能性があります。
Unraid 7.2.3を使用している場合は、この脆弱性の影響を受ける可能性があります。最新バージョンへのアップデートを確認してください。
Unraidを最新バージョンにアップデートすることで、この脆弱性を修正できます。アップデートが困難な場合は、一時的な回避策としてアクセス制限を検討してください。
現時点では、公開されているPoCは確認されていませんが、認証バイパスの可能性から、悪用されるリスクは高いと考えられます。
Unraidの公式アドバイザリは、Unraidのウェブサイトで確認できます。
CVSS ベクトル