ProFTPDに任意ファイル読み書きの脆弱性——CVE-2015-3306、悪用確認で対応急務

—

CVE-2015-3306とは何か——ProFTPD mod_copyに存在する任意ファイル操作の欠陥

CVE-2015-3306は、オープンソースFTPサーバー「ProFTPD」バージョン1.3.5のmod_copyモジュールに存在する脆弱性である。2015年5月18日にCVE公式記録として公開され（最終更新：2026年10月9日、出典：cve.org）、CVSS 3.1スコアは10.0（Critical）——脆弱性深刻度の最高値を記録している（評価者：CISA-ADP、ベクター：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）。

脆弱性の核心はmod_copyモジュールが提供するSITE CPFR（コピー元指定）とSITE CPTO（コピー先指定）の2コマンドにある。これらのコマンドに対する認証チェックが機能しておらず、リモートの攻撃者は認証を経ることなく、サーバー上の任意のファイルを読み取り、あるいは任意の場所へ書き込むことができる。

CVSSベクターの各要素が示す状況は以下のとおりである。攻撃はネットワーク経由（AV:N）・複雑な条件不要（AC:L）・認証不要（PR:N）・ユーザー操作不要（UI:N）で成立し、機密性・完全性・可用性のすべてに高度な影響（C:H/I:H/A:H）を及ぼす。

関連記事強化学習とは？アルゴリズムから解説 ／ GANの仕組みと活用事例は？

CISA KEV掲載が意味するもの——CVE-2015-3306の悪用確認と日本企業への示唆

CISAのKEV（Known Exploited Vulnerabilities）カタログは、実際の攻撃での悪用が確認された脆弱性のみを収録する公的データベースである。CVE-2015-3306は2026年10月8日にこのカタログへ追加された（対処期限：2026年10月11日、出典：CISA Known Exploited Vulnerabilities Catalog）。

ここで注意すべき点がある。KEV掲載は「悪用が確認されている」という事実を示すものであり、読者の環境が直ちに影響を受けることを意味しない。ProFTPD 1.3.5を稼働させていないシステムや、mod_copyを無効化した環境には、この脆弱性を通じた直接的なリスクはない。

一方でFIRST EPSSの推定値は0.99497（パーセンタイル0.99945、2026年10月29日時点）を示している。EPSSは過去のデータに基づく統計的確率の推定であり「悪用される」と断定するものではないが、収録されている脆弱性全体の中での相対的な位置づけとして、参照する意味がある（出典：FIRST EPSS）。

日本企業にとって重要な文脈がある。CVE自体は2015年に公開された古い脆弱性だが、2026年10月8日にCISAが悪用を確認してKEVへ追加した。古い版が残る環境がないか、今あらためて点検する必要がある。

CISAが米連邦機関に求めた対処内容は「ベンダーの指示に従ったミティゲーションの適用」および「BOD 26-04の指針への準拠」であり、対処が不可能な場合は製品の使用停止を求めている。この期限と義務は米連邦機関向けのものであり、日本企業に直接の法的義務はない。しかし優先度判断の参照材料として活用できる。

対処と期限

1. 修正版へ更新する：CVE公式記録とKEVには修正版が示されていない。ProFTPD公式サイト（proftpd.org）と利用中のディストリビューションの告知で、修正済みの版を確認して更新する。
2. 公式の回避策：KEVの記載は「ベンダーの指示に従ったミティゲーションの適用」。具体的な内容は公式告知を参照。
3. CISAの対処期限：2026年10月11日（米連邦機関向けで、日本企業への法的義務ではない）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。

---

参考文献

• CVE-2015-3306 — CVE公式記録（cve.org / MITRE）
  https://www.cve.org/CVERecord?id=CVE-2015-3306
• CVE-2015-3306 — NVD（米国立標準技術研究所・NIST）
  https://nvd.nist.gov/vuln/detail/CVE-2015-3306
• Known Exploited Vulnerabilities Catalog — CISA（米国サイバーセキュリティ・インフラセキュリティ庁）
  https://www.cisa.gov/known-exploited-vulnerabilities-catalog