プロジェクト管理ツール『Plane』に別チームのファイルを盗み見・削除できる脆弱性 CVE-2026-46558、v1.3.1へ即更新を

オープンソースのプロジェクト管理ツール「Plane」に、ログインした利用者なら本来アクセスできないはずの別チームの資料やファイルを、盗み見・コピー・上書き・削除までできてしまう脆弱性が見つかりました。管理番号は CVE-2026-46558、危険度は10点満点で8.3（重要）です。開発元は修正版の v1.3.1 を公開しており、Planeを自社サーバーで動かしている企業やチームは、今すぐこのバージョン以降へ更新する必要があります。

この問題は2026年6月に開発元GitHub上の脆弱性情報として公開され、日本では7月22日に脆弱性情報ポータル「JVN」が注意喚起として取り上げました。あわせて、ログインしていない外部の人でも利用者のメールアドレスなどが見えてしまう別の不具合（CVE-2026-30244）も明らかになっています。どちらも最新版で修正済みなので、記事の後半で対処法までまとめて解説します。

そもそもPlaneとは何のツールか

Planeは、仕事のタスクや進捗、ドキュメントを1か所で管理するためのツールです。企業でよく使われるJira・Asana・Linear・ClickUpといった有料サービスの代わりになる無料のオープンソース版として人気で、開発の中心であるGitHub上のプロジェクトには4万5千を超える「スター（お気に入り）」が付いています。

Planeの特徴は、自社のサーバーに自分たちで設置して動かせる（セルフホスト）点です。データを外部のクラウドに預けたくない企業や、コストを抑えたいスタートアップが、社内の課題管理基盤として導入しています。裏を返すと、更新やセキュリティ対策も利用する側が自分で行う必要があり、今回のように穴が見つかったときは各社が自力で修正版へ上げなければなりません。

Planeでは、複数のチームや部署を「ワークスペース」という単位で仕切ります。営業部のワークスペース、開発部のワークスペースといった具合に区切り、それぞれのメンバーだけがその中の資料を見られる、という前提で使われています。今回の脆弱性は、この「チームごとの仕切り」を無効にしてしまうものでした。

誰が狙い、何をされ、何を失うのか

この脆弱性を突けるのは、外部の見知らぬハッカーというより、同じPlaneにログインできる立場の人物、つまり社内の別部署のメンバーや、退職間際の従業員、取引先として一時的にゲスト招待された外部の人です。特別なハッキング技術は不要で、正規に発行された一般アカウントさえあれば足ります。

その人物は、自分が所属していないはずの別チームのワークスペースに対して、アップロードされたファイル（添付資料・契約書・設計図・ロゴ画像など）をこっそりダウンロードしたり、勝手に書き換えたり、丸ごと削除したりできてしまいます。ファイルを識別する番号を推測・列挙するだけで、本来は権限のない他部署の中身に手を伸ばせる状態でした。

被害の形は2つに分かれます。Planeを使う現場の社員にとっては、自分たちのチームだけで共有していたはずの資料が他部署に筒抜けになり、大事な添付ファイルがいつの間にか消えたり中身をすり替えられたりする恐れがあります。システムを運用する情報システム部門にとっては、「チームごとにデータを分けている」という信頼の前提が崩れ、社内の情報漏えいや証拠隠滅につながりかねません。同じように、初期設定のまま内部の利用者が権限の壁を越えられる問題は、開発現場で使われるArgo CDでも起きています。だからこそ、対策は「更新版へ上げる」の一択になります。

技術的に何が起きていたのか

ここからは仕組みを少し詳しく見ていきます。Planeで見つかった脆弱性は1件ではなく、認証（本人確認）や権限まわりで複数の穴が相次いで報告されました。危険度の高い順に整理します。

CVE-2026-46558：別チームのファイルを盗み見・削除できる（危険度8.3）

今回もっとも危険なのがこの穴です。Planeがファイルを扱う内部の窓口（API）が、「そのファイルを操作しようとしている人が、本当にそのファイルの持ち主チームに属しているか」を確認せずに処理していました。専門的にはアクセス権のチェック漏れ（CWE-639／CWE-862、権限をまたいだ認可回避）と呼ばれる典型的な設計ミスです。

脆弱性情報データベースの解説によると、攻撃者は自分のワークスペースから、被害者側のファイルを指す識別番号（UUID）を使って、次の操作を直接実行できました。ファイルの取得（GET）、別ワークスペースへの複製（POST／複製API）、削除（DELETE）、そしてワークスペースのロゴ画像の上書き（PATCH）です。開発元の脆弱性報告では、攻撃者役のワークスペースから被害者役のワークスペースの資料を実際に盗み出し・削除できることが検証されています。報告したのはセキュリティ研究者の0xmrma氏です。

危険度を示すスコアの内訳（CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L）を平たく言うと、「ネットワーク越しに」「簡単な手口で」「低い権限の一般アカウントさえあれば」「利用者の操作を待たずに」「機密性と完全性に大きな被害」を出せる、という意味です。修正版のv1.3.1では、ファイルを操作するすべての窓口でワークスペースの所属確認を必須にし、複製処理でも「コピー元」と「コピー先」の両方の権限を確かめるよう修正されました。

CVE-2026-30244：ログイン前でもメールアドレスが漏れる（危険度7.5）

こちらはログインすら不要な問題です。本来は保護されているはずの一部の窓口が、匿名アクセスを許す設定ミスになっており、認証なしで /api/public/workspaces/{ワークスペース名}/members/ といったURLを叩くと、そのチームのメンバーのメールアドレスや氏名、管理者アカウントの有無、内部の組織構成まで外部から見えてしまいました。GitHubの脆弱性データベースに登録されており、標的型メールや不正ログインの下調べに使われかねない情報漏えいです。こちらも更新版で解消されています。

CVE-2026-27949：メールアドレスがURLに残る（危険度4.3）

3つ目は比較的軽い問題です。ログインに失敗したときの処理で、利用者のメールアドレスがURLの一部（GETパラメータ）として送られてしまい、サーバーのアクセス記録などに個人情報が残る設計上の欠陥でした。この問題はv1.3.0で修正済みです。単独では被害は小さいものの、他の漏えいと組み合わさると危険度が上がります。

自分のPlaneは危ないのか（影響範囲の早見表）

使っているPlaneのバージョンと運用形態で、対応の要否が変わります。下の表で自分の環境を確認してください。

自社でサーバーに設置している場合が最も注意が必要です。特に、社外のゲストや複数部署を1つのPlaneに同居させている運用では、悪用されたときの影響が大きくなります。自前で運用するオープンソースは便利な反面、こうした更新の見落としが穴になりやすいため、導入したOSSの脆弱性を継続的に把握する仕組みとあわせて管理するのが安全です。

今すぐやるべき対策

対策はシンプルで、Planeを最新の v1.3.1 以降へ更新することです。今回報告された3件の脆弱性は、いずれもv1.3.1系に上げれば解消されます。回避策として設定変更だけで防ぐ方法は用意されていないため、更新以外の選択肢は実質ありません。

更新はGitHubの公式リリースページや、Docker・Helmなど各社が導入した方法に沿って行います。すぐに更新できない事情がある場合は、暫定的に、そのPlaneにアクセスできる利用者を信頼できる人だけに絞る、社外ゲストの招待を一時停止する、手前に追加の認証を挟む、といった措置でリスクを下げられます。あわせて、更新前に不審なファイル操作の記録がないか確認し、重要なデータのバックアップを取っておくことも勧められます。

実際に攻撃されているのか

2026年7月時点で、この脆弱性が実際の攻撃に悪用されたという公式な報告は確認されていません。米政府CISAが公開する「実際に攻撃されている脆弱性リスト（KEV）」にも、今回のCVE-2026-46558は登録されていません。

ただし、攻撃の手口自体は難しくなく、内部の一般アカウントさえあれば成立します。攻撃コード（手口の実証）が広まれば、退職者や外部ゲストによる内部からの悪用が現実的なリスクになります。「まだ攻撃されていないから大丈夫」ではなく、狙われる前に更新を済ませておくのが安全です。

よくある質問

Q. 無料で使っているだけでも危ないのですか。
A. Planeを自社のサーバーに設置して使っている場合は、有料・無料に関係なく、v1.3.1より前なら影響を受けます。開発元が提供するPlane Cloudを使っている場合は、すでに開発元側で対処されています。

Q. 社内の人しか使っていないので安心では。
A. この脆弱性は、まさに「ログインできる社内の人」が別チームの情報に手を伸ばせる問題です。むしろ社内利用でこそ、退職者や別部署による内部の情報漏えいに注意が必要です。

Q. 更新するとデータは消えますか。
A. 通常の更新でデータが消えることはありませんが、念のため更新前にバックアップを取り、公式リリースの手順に従うことをおすすめします。

まとめ

人気のオープンソース プロジェクト管理ツール「Plane」に、ログインした利用者が別チームのファイルを盗み見・改ざん・削除できる脆弱性 CVE-2026-46558（危険度8.3）が見つかりました。あわせて、ログイン前でもメンバーのメールアドレスが漏れる CVE-2026-30244 なども明らかになっています。いずれも修正版の v1.3.1 で解消されており、自社サーバーでPlaneを運用しているなら、悪用が広がる前に最新版へ更新するのが確実な守り方です。

参照元

• ▸ JVN - JVNVU#90683587 Planeにおける認可回避の脆弱性
• ▸ GitHub Security Advisory - Plane Cross-Workspace Asset Authorization Bypass (GHSA-qw87-v5w3-6vxx)
• ▸ CIRCL Vulnerability-Lookup - CVE-2026-46558
• ▸ GitHub Advisory Database - CVE-2026-30244（無認証のメンバー情報漏えい）
• ▸ CIRCL Vulnerability-Lookup - CVE-2026-27949
• ▸ makeplane/plane - Release v1.3.1（修正版）
• ▸ SentinelOne - CVE-2026-46558 Plane Authorization Bypass Vulnerability
• ▸ Plane 公式サイト