内容は 2026 年 10 月 25 日に、NVD、GitHub Security Advisories、minecraft.net、各プロジェクトの公式の発表で確認したものです。すべての脆弱性を網羅したものではありません。使っているソフトウェアの最新の情報は、各プロジェクトの公式の発表で確認してください。
確認と対応の進め方
脆弱性は、公表されてから悪用が始まるまでが早く、Log4Shell では公表の当日から攻撃が観測されました。情報が出てから慌てないよう、次の流れを普段から回しておきます。
- 一覧: 使っているソフトウェア、プラグイン、Mod、管理画面、Java のバージョンを一覧にしておく
- 情報の収集: 一覧のソフトウェアの脆弱性の情報が、届く仕組みを作る (この資料の最後で説明)
- 影響の確認: 公表された脆弱性が、使っているバージョンと設定に当てはまるかを確かめる
- 回避と検証: すぐに更新できない場合は、公表された回避策を当てる。更新は検証用のサーバーで確かめる
- 反映と記録: 本番に反映し、いつ、何に、どう対応したかを記録に残す
深刻度の見方
脆弱性の深刻度は、CVSS という共通の基準の点数 (0〜10) で示されます。この資料では、IPA と同じく、点数を 4 段階に分けて示します。
| 深刻度 | CVSS の | 対応の |
|---|---|---|
| 緊急 | 9.0〜10.0 | すぐに更新するか、回避策を当てる |
| 重要 | 7.0〜8.9 | 早めに更新する |
| 警告 | 4.0〜6.9 | 計画して更新する |
| 注意 | 0.1〜3.9 | 次の更新に合わせて対応する |
点数は、米国の NVD が付けたものと、GitHub など公表した組織が付けたものが異なることがあります。この資料では、NVD の点数があればそれを、なければ公表した組織の点数を示しています。点数は一般的な目安で、実際の危険は、その機能を使っているか、外部から届くかによって変わります。
Minecraft 本体と Java
緊急CVE-2021-44228CVSS 10.0
Log4Shell: チャットのメッセージ 1 つで、外部からコードを実行される
Java のログの部品 Log4j の脆弱性です。Minecraft のサーバーとクライアントもこの部品を使っていて、特定の文字列をチャットに送るだけで、外部からコードを実行される状態でした。米国の CISA は、公表の当日に、悪用が確認された脆弱性の一覧に登録しています。
- 対象
- Java 版 1.7 から 1.18 のサーバーとクライアント。Spigot、Paper、Velocity、Waterfall も対応した
- 修正
- サーバーは 1.18.1。公式のランチャーのクライアントは、すべてのバージョンに修正が配られた (ランチャーの再起動で適用)
- 回避策
- Mojang の案内: 1.17 は JVM の引数
-Dlog4j2.formatMsgNoLookups=true。1.7〜1.16.5 は、Mojang が配布した log4j の設定ファイルを置き、-Dlog4j.configurationFileで指定する - 確認
- サーバーの Minecraft のバージョンと、Spigot や Paper のビルド、同梱されている log4j-core が 2.17.1 以上か。古いバージョンのまま動いているサーバーが今も残っていないか
重要CVE-2023-33245CVSS 8.8
細工したワールドのデータで、任意のファイルを上書きされる
ワールドのデータの中のシンボリックリンクを使って、Minecraft の外のファイルを上書きでき、コードの実行につながるおそれがありました。配布されているワールドを読み込むときに影響します。
- 対象
- Java 版 1.19 以前と、1.20 Pre-Release 7 より前
- 修正
- 1.20 Pre-Release 7 から、ワールドの中のシンボリックリンクを確かめるようになった (許可する場合は
allowed_symlinks.txt) - 確認
- 古いバージョンで、外部から入手したワールドを読み込んでいないか
重要CVE の公表なし
サーバーを落とせる重大な不具合の修正 (1.21.1)
Mojang は 1.21.1 で、サーバーを落とすのに使える重大な不具合を修正し、サーバーの運営者に更新を強く勧めました。CVE は公表されていないため、深刻度は Mojang の「critical」の表現から判断しています。
- 対象
- 1.21 のサーバー
- 修正
- 1.21.1
Java の更新
Minecraft のサーバーは Java の上で動くため、Java の脆弱性の修正も反映します。Oracle は、1・4・7・10 月の第 3 火曜日に重要な修正 (Critical Patch Update) を公開し、2026 年からはその間の月にも修正 (Critical Security Patch Update) を公開しています。OpenJDK の更新も、同じ時期に出るのが通例です。26.1 からは Java 25 が必要で、公式のランチャーは Microsoft Build of OpenJDK 25 を使います。
Mod
緊急CVE-2023-38689CVE-2021-33806CVSS 9.8
BleedingPipe: 多くの Forge の Mod で、外部からコードを実行される
Mod の通信の処理で、受け取ったデータを安全でない方法で読み込んでいたため、サーバーにも、そのサーバーに接続したクライアントにも、外部からコードを実行される状態でした。Mod の安全を調べる有志の団体 MMPA が公表し、インターネット全体を探して悪用する動きも観測されています。Forge 本体の問題ではありません。
- 対象
- 主に 1.7.10 と 1.12.2 の Forge の Mod。EnderCore、LogisticsPipes、BDLib、Smart Moving 1.12、Brazier、DankNull、Gadomancy など (これですべてではない)
- 修正
- LogisticsPipes 0.10.0.71、BDLib 1.16.1.7 など、各 Mod の新しいバージョン
- 回避策
- サーバーとクライアントの両方に、対策の Mod の PipeBlocker を入れる
- 確認
- 古いバージョンの Mod パックを使っていないか。jSus や jNeedle で、すべての Mod を検査する
警告GHSA-w776-qpv9-86xq ほか 2 件 CVSS 6.5
NeoForge: ログインした参加者が、サーバーのメモリを使い果たさせて落とせる
NeoForge のサーバーで、ログインした参加者が細工した通信を送ると、メモリを使い果たさせてサーバーを停止させられる脆弱性が、3 件公表されました。
- 対象
- NeoForge 20.2.3-beta、20.4.0-beta 以降
- 修正
- 26.3.0.83、26.2.0.93、26.1.2.120、21.1.262 など、各系統の新しいバージョン
配布の仕組みを狙った攻撃
ソフトウェアそのものの不具合ではなく、配布の仕組みを悪用して、マルウェアを正規の更新に見せかける攻撃です。
緊急fractureiser
配布サイトの作者のアカウントを乗っ取り、Mod とプラグインの更新にマルウェア
CurseForge と dev.bukkit.org の作者のアカウントが乗っ取られ、マルウェアを仕込んだ Mod とプラグインが公開されました。感染すると、ログインの情報を盗み、PC の中のほかの jar ファイルにも広がります。CurseForge によると、感染したファイルは約 6,000 回ダウンロードされました。調査の団体は、すでに終息したとしています。
- 対象
- 2023 年 2〜6 月に CurseForge と dev.bukkit.org から入手した Mod とプラグイン。Windows と Linux
- 確認
- Windows は
%LOCALAPPDATA%\Microsoft Edge(空白を含む名前のフォルダ)、Linux は~/.config/.data/lib.jarがあるか。CurseForge (Overwolf) の検知のツールで検査する - 感染していたら
- PC を初期化し、別の端末からすべてのアカウントのパスワードを変える
重要GHSA-gcx9-9j5c-wf9c
Plan: 作者になりすました人物が、裏口の入ったバージョンを配布
プレイヤーの分析のプラグイン Plan の作者になりすました人物が、Modrinth で偽の「5.61」を配布し、外部から操作できる裏口 (バックドア) が仕込まれていました。
- 対象
- 2025 年 2 月 15 日〜3 月 11 日に Modrinth で配布された偽のバージョン
- 確認
- 入れている Plan のバージョンと入手元が、作者の正式な公開と一致しているか
ほかにも、2024 年 5 月に Modrinth で、ログインの情報を盗む偽の Mod「Windows Borderless」が公表されています (Mod とクライアントの安全)。
管理画面
緊急CVE-2025-49132CVSS 10.0
Pterodactyl Panel: ログインなしで、外部からコードを実行される
管理画面の /locales/locale.json への細工したリクエストで、ログインしなくても任意のコードを実行できました。管理画面の設定に含まれる認証の情報、データベース、管理しているサーバーのファイルに届くおそれがあります。ソフトウェアの側の回避策はありません。
- 対象
- Pterodactyl Panel 1.11.11 より前
- 修正
- 1.11.11 (最新は 1.15.2、2026 年 10 月 21 日)
- 確認
- 管理画面に表示されるバージョン。管理画面をインターネットに直接公開していないか
Pterodactyl と、各サーバーで動く Wings には、2025〜2026 年に、ほかにも多くの脆弱性が公表されています。主なものです。
| 深刻度 | 番号 | 内容 | 修正 |
|---|---|---|---|
| 緊急 | CVE-2026-26016 | Panel: ノードをまたいでサーバーの設定が漏れる | Panel 1.12.1 |
| 緊急 | CVE-2026-52855 | Wings: テンプレートを通じてノードの秘密の情報が漏れる (9.9) | Wings 1.12.3 |
| 緊急 | CVE-2026-104261 | Wings: バックアップの ID を使ったパストラバーサル (9.1) | Wings 1.13.1 |
| 重要 | CVE-2026-104262 | Wings: SSRF (8.2) | Wings 1.13.1 |
| 重要 | CVE-2026-54593 | サブユーザーが権限なしでファイルを作れる (8.1) | Panel 1.12.3、Wings 1.12.2 |
| 重要 | CVE-2026-61609 | Panel: 管理画面全体のログインを止められる (7.5) | Panel 1.13.0 |
| 重要 | CVE-2025-68954 | Panel: サーバーを削除したあとも SFTP の権限が残る | Panel 1.12.0 |
| 警告 | CVE-2025-69197 | Panel: 2 段階認証のコードを再利用できる (6.5) | Panel 1.12.0 |
Pterodactyl のフォークの Pelican Panel (ベータ版) にも、外部からのコードの実行やアカウントの乗っ取りにつながる脆弱性が、2025〜2026 年に公表されています。管理画面は、最新のバージョンに保ち、インターネットに直接公開しないことが欠かせません (管理画面とダッシュボード)。
プラグインと周辺のソフトウェア
| 深刻度 | ソフトウェア | 内容 | 修正 |
|---|---|---|---|
| 重要 | Plan | SQL インジェクション (GHSA-mcq3-5hhm-75rx、8.6) | 5.5 build 2172 |
| 警告 | Geyser | 統合版の通信の処理でサーバーを止められる (GHSA-m2q6-2hwr-643w、5.9、2025 年 7 月) | build 897 (IP アドレスごとの接続の上限を追加) |
| 警告 | Floodgate | ほかのプレイヤーの統合版のフォームを乗っ取れる (CVE-2026-43902、5.3) | build 130 |
| 警告 | Geyser | プレイヤーの頭のテクスチャの URL を使った SSRF (CVE-2026-42188、NVD 4.3) | 2.9.3 |
2026 年 10 月 25 日の時点で、Paper、Velocity、Folia、LuckPerms、ViaVersion、BlueMap、squaremap、spark、CoreProtect、EssentialsX の GitHub には、公表された脆弱性の情報 (Security Advisories) はありませんでした。ただし、修正が通常の更新に含まれていることもあるため、更新そのものを続けることが大切です。
ランチャー
| 深刻度 | 番号 | 内容 | 修正 |
|---|---|---|---|
| 重要 | CVE-2023-25304 | Prism Launcher: Modrinth の Mod パックの読み込みで、意図しない場所にファイルを書き込まれる (7.8) | 6.2 |
| 重要 | GHSA-gq28-qx55-mh2r | Prism Launcher: Mod パックの ZIP の読み込みで、同様の問題 (7.8) | 6.3 より後 |
| 警告 | GHSA-g7mw-q872-w63w | Prism Launcher: Modrinth の Mod パックのファイルの確認を回避できる (5.9) | 9.0 |
Prism Launcher は 2026 年 9 月の 11.1.1 でも、CurseForge の Mod パックの読み込みでの同様の問題を修正しています (番号は 2026 年 10 月 25 日時点で未公表)。Mod パックは、外部から入手したファイルを PC に展開するため、ランチャーも最新のバージョンに保ちます。
設定による危険 (CVE のないもの)
脆弱性ではなく、設定の誤りで起きる危険もあります。代表的なのは、バックエンドサーバー (プロキシの先で、ワールドを動かすサーバー) をインターネットから直接接続できる状態にしておくことです。
バックエンドサーバーは online-mode を切るため、直接接続されると、誰にでもなりすまして参加できてしまいます。Velocity のドキュメントは、ファイアウォールで守ることを強く勧め、modern の情報の渡し方もファイアウォールの代わりにはならないとしています (プロキシサーバー)。
- バックエンドサーバーは、プロキシと同じマシンなら
server-ip=127.0.0.1、別のマシンならプライベートなアドレスで待ち受け、ファイアウォールでプロキシからの接続だけを許可する (プロキシサーバー) - 別の機械に置く場合は、ファイアウォールでプロキシからの接続だけを許可する
- 管理画面、データベース、Redis、監視の画面も、インターネットに直接公開しない
情報の集め方
| 情報源 | 内容 |
|---|---|
| GitHub | 使っているソフトウェアのリポジトリで「Watch」から Security alerts を有効にする。GitHub Advisory Database でもまとめて探せる |
| minecraft.net | Minecraft 本体の更新の記事。セキュリティの修正は「critical」などの表現で告知される |
| MMPA | Mod とプラグインの安全を調べる有志の団体。BleedingPipe などを公表 |
| Modrinth・CurseForge | 配布サイトのお知らせ。マルウェアの公表と、検知のツールの案内 |
| NVD・CISA KEV | 脆弱性の番号と点数。CISA の一覧は、実際に悪用が確認されたものに絞られている |
| Oracle の Security Alerts | Java の修正の公開の予定と内容 |
| JVN | 日本の脆弱性の情報。Minecraft に関わるものも登録されることがある |
PaperMC は、セキュリティの告知の専用のページを設けていません。Paper、Velocity、Folia は、Discord と公式のドキュメント、ダウンロードのページでの告知を確認し、ビルドの更新を続けます。
参考にした資料
- Important Message: Security vulnerability in Java Edition (minecraft.net、2021 年 12 月)
- CVE-2021-44228 (NVD)
- CVE-2023-33245 (NVD)
- Minecraft Java Edition 1.21.1 (minecraft.net)
- Critical Patch Updates, Security Alerts (Oracle)
- BleedingPipe (MMPA)
- CVE-2023-38689 (NVD)
- NeoForge Security Advisories (GitHub)
- fractureiser (GitHub)
- CVE-2025-49132 (NVD)
- Pterodactyl Panel Security Advisories (GitHub)
- Pterodactyl Wings Security Advisories (GitHub)
- Pelican Panel Security Advisories (GitHub)
- Geyser Security Advisories (GitHub)
- Prism Launcher Security Advisories (GitHub)
- Securing your servers (Velocity)
- Known Exploited Vulnerabilities Catalog (CISA)
脆弱性の確認と対応は、KEY SELECT に
サーバー、プロキシ、プラグイン、Mod、管理画面の脆弱性の情報を確認し、影響を調べ、検証してから更新を反映するまで、KEY SELECT がお引き受けできます。
- 記事や技術資料の内容についてのご質問とサポートは、保守・サポートのご契約、またはスポットでのご契約をいただいたうえでお受けしています。無償でのサポートは行っておりません。
- 記事や技術資料の内容は、公開の時点の情報にもとづいて作成しています。内容の正確性、完全性、最新性を保証するものではなく、内容にもとづいて行った作業の結果について、弊社は責任を負いかねます。設定や変更は、ご自身の責任で、検証用の環境で確かめてから行ってください。
- 記事や技術資料の内容について、ご指摘や誤りにお気づきの点がありましたら、その他のお問い合わせからお知らせください。
- 技術資料の内容は、引用元として資料の名前と URL を明記していただければ、ご自身の動画や資料としてご利用いただけます。全文の Web サイトでの引用はご遠慮ください。