gohttpserver 1.3.0 以前の /upload に Zip Slip、細工した ZIP で任意の場所にファイルを書き込めるおそれ（CVE-2026-38600）: CVSS v3.1 9.8、悪用の有無は未確認

gohttpserver（Go 製の簡易ファイル共有 HTTP サーバー）1.3.0 までの版について、/upload エンドポイントに Zip Slip と呼ばれる弱点があるとして、CVE-2026-38600 が 2026-11-03 に NVD に登録されました。登録元は MITRE で、状態は「Received」（NVD の分析前）です。

何が起きるか

• NVD の記載によると、細工した ZIP アーカイブをアップロードすると、攻撃者が任意の場所にファイルを書き込めます。
• Zip Slip は、ZIP の中のファイル名に「../」を含めて、展開先のフォルダの外へファイルを置かせる手口です。展開時にパスを確認していないと成立します。
• 弱点の分類は CWE-22（パストラバーサル）です。書き込み先によっては、設定ファイルや実行ファイルの置き換えを通じて、サーバー上でコードを実行されるおそれがあります（この点は NVD の記載には無く、一般的な影響の説明です）。
• 影響を受ける版は「1.3.0 まで」とだけ書かれています。それより前のどの版からかは未確認です。

数値と severity

• CVSS v3.1 は 9.8（CRITICAL）で、ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H です。評価したのは NVD 以外（CISA の追加評価）で、NVD 自身の評価はまだありません。
• ベクター上は認証不要のため、severity は critical とします。ただし、実際の運用では /upload を有効にしていない、または認証をかけている環境も多いと考えられます。既定の設定でどこまで当てはまるかは未確認です。
• CISA の SSVC 評価では、悪用は「PoC あり」、自動化は「可能」、技術的な影響は「全面的」とされています。実際の攻撃の観測を示すものではありません。
• FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。

対策

• 公開されている修正版は確認できていません（未確認）。ベンダーの対応は不明です。
• /upload を使わない場合は、アップロード機能を無効にして起動する。
• 使う場合は、インターネットに直接出さず、認証付きのリバースプロキシやアクセス制限の内側に置く。
• サーバーの実行ユーザーの権限を最小にし、展開先の外を書き込み不可にする。
• 想定外の場所に新しいファイルができていないか確認する。

未確認の点

• 修正版の有無と、影響を受ける最初の版。
• 既定の設定で /upload が有効か、認証が必要か。
• 実際の悪用の有無。
• NVD の最終評価と EPSS。
• 参照先の研究者の報告ページの中身（本稿では開いていません）。

出典

• NVD: CVE-2026-38600
• Snyk: Zip Slip の解説（NVD の参照先。一般的な説明のため未開封）
• FIRST EPSS（データなし）、CISA KEV（掲載なし）