---
title: "gohttpserver 1.3.0 以前の /upload に Zip Slip、細工した ZIP で任意の場所にファイルを書き込めるおそれ（CVE-2026-38600）: CVSS v3.1 9.8、悪用の有無は未確認"
url: https://n-t-p.io/worldsecurity/articles/gohttpserver-upload-zip-slip-arbitrary-file-write-cve-2026-38600
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 緊急
cve: CVE-2026-38600
---

# gohttpserver 1.3.0 以前の /upload に Zip Slip、細工した ZIP で任意の場所にファイルを書き込めるおそれ（CVE-2026-38600）: CVSS v3.1 9.8、悪用の有無は未確認

> **TL;DR:** gohttpserver 1.3.0 以前の /upload に Zip Slip（CWE-22）があり、細工した ZIP のアップロードで任意の場所にファイルを書き込めるおそれ（CVE-2026-38600、CVSS v3.1 9.8、認証不要の評価）。修正版は未確認、既定の設定での影響も未確認。悪用の有無は未確認。KEV 未掲載、EPSS データなし。

**要点**
- gohttpserver 1.3.0 以前の /upload に Zip Slip があり、任意の場所にファイルを書き込めるおそれ（CVE-2026-38600）。
- CVSS v3.1 は 9.8 で認証不要の評価。NVD の状態は Received で、NVD 自身の評価はまだない。
- /upload を無効にするか、認証付きのプロキシの内側に置く。修正版は未確認。
- 悪用の有無は未確認。KEV には載っておらず、EPSS はデータなし。

gohttpserver（Go 製の簡易ファイル共有 HTTP サーバー）1.3.0 までの版について、/upload エンドポイントに Zip Slip と呼ばれる弱点があるとして、CVE-2026-38600 が 2026-11-03 に NVD に登録されました。登録元は MITRE で、状態は「Received」（NVD の分析前）です。

## 何が起きるか
- NVD の記載によると、細工した ZIP アーカイブをアップロードすると、攻撃者が任意の場所にファイルを書き込めます。
- Zip Slip は、ZIP の中のファイル名に「../」を含めて、展開先のフォルダの外へファイルを置かせる手口です。展開時にパスを確認していないと成立します。
- 弱点の分類は CWE-22（パストラバーサル）です。書き込み先によっては、設定ファイルや実行ファイルの置き換えを通じて、サーバー上でコードを実行されるおそれがあります（この点は NVD の記載には無く、一般的な影響の説明です）。
- 影響を受ける版は「1.3.0 まで」とだけ書かれています。それより前のどの版からかは未確認です。

## 数値と severity
- CVSS v3.1 は 9.8（CRITICAL）で、ベクターは AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H です。評価したのは NVD 以外（CISA の追加評価）で、NVD 自身の評価はまだありません。
- ベクター上は認証不要のため、severity は critical とします。ただし、実際の運用では /upload を有効にしていない、または認証をかけている環境も多いと考えられます。既定の設定でどこまで当てはまるかは未確認です。
- CISA の SSVC 評価では、悪用は「PoC あり」、自動化は「可能」、技術的な影響は「全面的」とされています。実際の攻撃の観測を示すものではありません。
- FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。

## 対策
- 公開されている修正版は確認できていません（未確認）。ベンダーの対応は不明です。
- /upload を使わない場合は、アップロード機能を無効にして起動する。
- 使う場合は、インターネットに直接出さず、認証付きのリバースプロキシやアクセス制限の内側に置く。
- サーバーの実行ユーザーの権限を最小にし、展開先の外を書き込み不可にする。
- 想定外の場所に新しいファイルができていないか確認する。

## 未確認の点
- 修正版の有無と、影響を受ける最初の版。
- 既定の設定で /upload が有効か、認証が必要か。
- 実際の悪用の有無。
- NVD の最終評価と EPSS。
- 参照先の研究者の報告ページの中身（本稿では開いていません）。

## 出典
- NVD: CVE-2026-38600
- Snyk: Zip Slip の解説（NVD の参照先。一般的な説明のため未開封）
- FIRST EPSS（データなし）、CISA KEV（掲載なし）


## 出典
- [NVD CVE-2026-38600](https://nvd.nist.gov/vuln/detail/CVE-2026-38600) — NIST NVD
- [Snyk: Zip Slip の解説（未開封）](https://security.snyk.io/research/zip-slip-vulnerability) — Snyk

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/gohttpserver-upload-zip-slip-arbitrary-file-write-cve-2026-38600