Incus のバックアップ取り込みでパストラバーサル、ホストへ任意書き込み（CVSS 9.9）

Critical（CVSS 9.9）に分類されるLinux Containers Incus（7.0.0 以上 7.0.2 未満 / 7.1.0 以上 7.5.0 未満）の脆弱性です。**コンテナ・仮想マシン管理ツール Incus で、細工したインスタンスのバックアップを取り込ませると、ホスト上に root 所有のディレクトリと任意の内容を書き込まれる。** NVD と開発元の GitHub アドバイザリ GHSA-hpjh-q53p-f27r（2026年9月25日公開）によれば、バックアップ内の index.yaml に書かれた「依存するカスタムボリューム」の名前が検証されておらず、`../` を含む名前でホストの任意の場所を指せる。ホスト全体の乗っ取りにつながる。 **誰が悪用できるか。** インスタンスを作成できる（バックアップを取り込める）クライアント。 **影響する版。** NVD の記述では 7.0.0 以上 7.0.2 未満と 7.1.0 以上 7.5.0 未満。Debian のセキュリティトラッカーは、6.0 系（trixie の 6.0.4）には該当コードが無く 7.x だけが影響を受けるとしている。同じ時期に公開された移行ストリームの欠陥 CVE-2026-115377 とは別の欠陥である。 **評価値。** NVD に登録された VulnCheck の採点は CVSS 3.1 で **9.9 Critical**、CVSS 4.0 で 9.4。CISA KEV には収載されておらず、悪用の報告は確認できていない。NVD の分析は Deferred（保留）。

**Incus を修正版へ上げる。** NVD の記述では修正版は 7.0.2（7.0 系）と 7.5.0（最新系）。開発元のアドバイザリは 7.5.0 を修正版としている。ディストリビューションのパッケージを使っている場合は各ディストリの修正版を入れる（Debian は forky が 7.0.1-5、sid が 7.0.2-2 で修正済み、trixie の 6.0 系は対象外）。 **すぐ上げられない場合の回避策（開発元記載）。** インスタンスを作成できるクライアントを信頼できるものだけに限る。信頼できないバックアップファイルを取り込まない。 **完了条件**は、全ての Incus 7 系ホストが 7.0.2 / 7.5.0 以上（またはディストリの修正版）であること。

Linux Containers Incus（7.0.0 以上 7.0.2 未満 / 7.1.0 以上 7.5.0 未満） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-115375）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。