ProFTPD の mod_copy で未認証のファイル読み書き（KEV・CVSS 10.0）

Critical（CVSS 10.0）に分類されるProFTPD Project ProFTPD 1.3.5（mod_copy 有効時）の脆弱性です。FTP サーバ ProFTPD の **mod_copy モジュールが提供する `SITE CPFR` / `SITE CPTO` コマンドを、ログイン前の攻撃者が使えてしまい、サーバ上の任意のファイルを読み書き（コピー）できる**欠陥。NVD の記述では対象は ProFTPD 1.3.5。Web サーバの公開ディレクトリへ PHP ファイルなどをコピーすれば、そのままコード実行に至る（Metasploit のモジュールや Exploit-DB の攻撃コードが公開されている）。 **悪用が確認されている。** 公開は 2015年5月。CISA は 2026年10月8日に KEV へ収載し、**是正期限を 2026年10月11日**とした。KEV 上のランサムウェア利用は Unknown（不明）。 CVSS は、NVD（Primary）の採点が旧 CVSS v2 の 10.0 のみで、CVSS 3.1 は CISA-ADP の 10.0 Critical（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）。NVD の vulnStatus は Undergoing Analysis。

**ProFTPD をディストリの修正版へ更新する。** Debian は DSA-3263-1 で wheezy（1.3.4a-5+deb7u3）と jessie（1.3.5-1.1+deb8u1）を修正し、現行の bookworm / trixie / sid も修正済みの版になっている。Ubuntu は 14.04 LTS（1.3.5~rc3-2.1ubuntu2.1）と 12.04 LTS（1.3.4a-1ubuntu0.1）で修正し、16.04 LTS 以降は対象外としている。アップストリームの修正は ProFTPD の bug 4169（GitHub の PR #109）で行われている。 **mod_copy を使っていないなら読み込まない。** ProFTPD 1.3.5 のリリースノートは mod_copy が既定で有効であり、無効化すべき場合があると述べている。更新までは mod_copy をロードしない設定にし、FTP の到達元を絞る（これは一般的な到達経路の削減で、更新の代わりではない）。 **影響を受けるかの確認**は `proftpd -v` で版を、`proftpd -l` で mod_copy が組み込まれているかを見る。FTP サーバと Web の公開ディレクトリが同じホストにある場合は、公開ディレクトリに見覚えの無いファイルが無いかも点検する。 **完了条件**は、（1）全ての ProFTPD がディストリの修正版以上であること、（2）mod_copy が不要なホストでは無効化していること、の2点である。

ProFTPD Project ProFTPD 1.3.5（mod_copy 有効時） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2015-3306）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/11 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。クラウドサービスについては該当する BOD 26-04 のガイダンスに従い、緩和策が無い場合は当該製品の使用を停止すること。各資産のインターネット露出を評価し、BOD 26-04 のパッチ適用ガイドラインを順守する責任は利用者側にある。