Percona Monitoring and Management (PMM) 3.7.1（リリース日：2026年4月30日）

リリース概要

PMM 3.7.1は主にセキュリティアップデートです。サードパーティの依存関係における複数のCVEを修正し、Grafana、Nomad、VictoriaMetricsなどの主要コンポーネントをアップグレードし、ログ内のデータベース認証情報をマスクすることでログ共有の安全性を高めています。

さらに、MongoDBストレージの断片化ビューを追加し、コンテナ環境におけるPMM Clientの設定をより柔軟にし、リアルタイム分析（RTA）、ダッシュボード、およびエクスポーターに関する問題を修正しました。

リリースハイライト

MongoDBストレージの断片化を一目で把握

MongoDB Cluster SummaryおよびMongoDB ReplSet Summaryダッシュボードに、コレクションごとの空きストレージと割り当て済みストレージの比率を示すFragmentation Analysisパネルが追加されました。これを使用すると、頻繁な削除やドキュメントの移動によってディスク容量を浪費しているコレクションをすばやく特定し、コンパクト化が最も効果を発揮する場所を決定できます。

自動認証情報マスキングによる、より安全なログ共有

PMMは、ログ内のデータベースパスワードと接続文字列認証情報をマスクするようになりました。これにより、機密情報を公開することなく、トラブルシューティングのためにログを共有できます。

セキュリティアップデート

PMM 3.7.1では、主要コンポーネントがアップグレードされ、サードパーティの依存関係における複数のセキュリティ脆弱性が修正されています：

gRPC認証チェックを回避する（CVE-2026-33186）

すべてのPMMコンポーネントにおいてgRPCの依存関係を1.79.3以上にアップグレードすることにより修正されました。この脆弱性はPMMのアーキテクチャでは悪用不可能でしたが、今回の修正で完全に解消されます。

GrafanaのSQL式によるリモートコード実行（CVE-2026-27876）

Grafanaを11.6.14にアップグレードすることにより修正されました。PMMはsqlExpressions機能の切り替えを有効にしないため、実際には悪用されることはありませんでしたが、念のため修正を適用しました。

Go標準ライブラリの脆弱性

以下を修正するため、すべてのPMMバイナリにおいてGoツールチェーンを1.25.8以降にアップグレードしました：

• TLSセッションが予期せず再開される可能性（CVE-2025-68121）
• 細工されたクエリパラメータによってメモリリソースが枯渇する可能性（CVE-2025-61726）
• 細工されたzipアーカイブによってCPUリソースが枯渇する可能性（CVE-2025-61728）
• PMM ServerおよびClientバイナリにおいて、IPv6ホストリテラルが正しく解析されない可能性（CVE-2026-25679）

残存するサードパーティのセキュリティリスク

サードパーティの依存関係に存在する一部の脆弱性は、アップストリームの修正がまだ利用できなかったため、今回のリリースで修正できませんでした。Perconaはそれぞれを評価し、一般的なPMM導入においてはリスクは低いと判断しています。影響を受ける依存関係は、修正プログラムが利用可能になり次第更新されます。

OpenTelemetry SDKにおけるPATHのハイジャック (CVE-2026-24051, CVE-2026-39883)

• 影響を受けるコンポーネント
  Grafana (サードパーティ依存関係、otel/sdk v1.39.0)。
• PMMでこれを悪用するのが難しい理由
  これを悪用するためには、攻撃者はPMM ServerコンテナへのローカルファイルシステムアクセスとPATH環境変数の制御権限が必要です。PMM Serverはシェルアクセスが一切ないロックダウンされたコンテナ内で動作するため、もし誰かがそのレベルのアクセスを持っている場合、コンテナは既に侵害されている状態です。
• 緩和要因
  • • PMM Serverは、アクセスが制限された信頼できるインフラストラクチャ上で稼働するように設計されています。
    • コンテナは、権限のないユーザーにシェルアクセスを与えません。
    • リモートからの攻撃は不可能です。
• リスク判断
  PMM 3.7.1ではこのリスクを受け入れ、今後の依存関係のアップデートで修正する予定です。

Docker AuthZプラグインのチェックを回避する（CVE-2026-34040）

• 影響を受けるコンポーネント
  HashiCorp Nomad (サードパーティ依存関係、docker/moby v28.5.2)。
• PMMでこれを悪用するのが難しい理由
  これは、過大なリクエストボディを処理する時に、DockerデーモンのAuthZプラグインに影響を与えます。PMMのNomadはDockerデーモンとして実行されず、Docker AuthZプラグインを使用しません。また、Nomadはデフォルトで無効になっています。
• 緩和要因
  • • Nomadはデフォルトでは無効になっており、明示的に有効にする必要があります。
    • 脆弱なDockerデーモンのコードパスは、PMMのNomadによって使用されていません。
    • NomadはDockerデーモンのインターフェースを公開していません。
• リスク判断
  PMM 3.7.1ではこのリスクを受け入れ、今後の依存関係のアップデートで修正する予定です。

Grafana ClickHouse DatasourceプラグインにおけるGo標準ライブラリの脆弱性

このサードパーティプラグインのビルドには、以下のCVEが依然として存在します：CVE-2026-25679、CVE-2026-27137、CVE-2026-32280、CVE-2026-32281、CVE-2026-32283、CVE-2026-33810。

• 影響を受けるコンポーネント
  Grafana ClickHouse Datasource プラグイン (サードパーティ依存関係、Go 1.26.0で構築)。
• PMMでこれを悪用するのが難しい理由
  これらは、ClickHouse DatasourceプラグインにおけるGo標準ライブラリの問題です。このプラグインはローカルホスト経由でローカルのClickHouseインスタンスにのみ接続するため、外部URL、ユーザー制御URL、証明書、TLS接続はこのコードを経由しません。
• 緩和要因
  • • このプラグインは、PMM Serverコンテナ内のClickHouseにのみ接続します。
    • PMMは、プラグインのURL解析や証明書検証を信頼できない入力に対して公開しません。
    • これらはサービス拒否（DoS）の脆弱性であり、コード実行、権限昇格、不正なデータアクセスを許可しません。
• リスク判断
  PMM 3.7.1では、このリスクを受け入れます。修正には、Go ≥1.26.2を使用したプラグインのアップストリーム再ビルドが必要ですが、これはまだ利用できません。利用可能になり次第、対応します。

リスクを軽減する方法

当面の間、リスクを軽減するために：

• PMM Serverへのネットワークアクセスを信頼できるネットワークとユーザーのみに制限する。
• PMM管理者の数を少なく抑え、強力な認証を徹底する。
• 可能な限り、PMM Serverコンテナにリソース制限を適用する。
• 特に必要な場合を除き、Nomadを無効にしておく。

コンポーネントアップグレード

• VictoriaMetrics：バージョン1.138.0から1.140.0にアップグレードしました。
• Nomad：バージョン1.11.3から2.0.0にアップグレードしました。
• Grafana ClickHouse Datasource：バージョン4.15.0にアップグレードしました。

改善点

• PMM-14875: MongoDB Cluster SummaryダッシュボードおよびMongoDB ReplSet SummaryダッシュボードにFragmentation Analysisパネルを追加しました。
• PMM-14832: pmm-agentのセットアップ時に --proc-mounts-pathフラグを使用するか、環境変数としてPMM_AGENT_SETUP_PROC_MOUNTS_PATHを設定することで、PMM Clientに /proc/mountsの場所を伝えることができるようになりました。PMM Clientをコンテナ環境または非標準環境で実行していて、ファイルがデフォルトの場所にない場合、ディスクメトリックが欠落しているか不正確であると表示される場合は、これを使用してください。
• PMM-14399: Dockerデプロイメントに関するドキュメントを改善しました。Docker Easy-installガイドに、FATAL: /srv is not writable for pmm userエラーのトラブルシューティングセクションが追加され、Dockerボリュームの所有権の問題を解決するための手順が記載されています。

修正された問題

• PMM-14983: ViewerロールおよびEditorロールを持つユーザーは、リアルタイム分析（RTA）ページで401 Unauthorizedエラーが表示され、利用可能なサービスの一覧を読み込むことができませんでした。この問題は修正されました。
• PMM-14984: 一部の環境でPMMが「failed to migrate database」というエラーで失敗する可能性があるアップグレードの問題を修正しました。
• PMM-14852: MongoDB InMemory DetailsダッシュボードのTransactions、Cache Capacity、Sessions、Pagesパネルにおけるデータ表示の問題を修正しました。これらのパネルでは、WiredTigerメトリックではなくInMemoryメトリックが使用されるようになりました。また、重複または無関係なテンプレート変数が削除されました。
• PMM-14981: Kubernetesデプロイメントトピックに関するドキュメントの問題を修正しました。それは、設定が不完全な場合にPMM Clientをroot以外のユーザーとして実行した時に権限拒否エラーが発生する可能性があるというものです。例には、PMM Clientの起動前に必要なディレクトリ権限を設定するinitコンテナが追加されました。
• PMM-14958: GTIDを持ち、並列レプリケーションが有効になっているMySQLインスタンスを監視する時に、mysqld_exporterログに残っていた重複メトリックエラーを修正しました。PMM 3.6.0での部分的な修正に続き、mysql_perf_schema_replication_group_worker_transport_time_secondsとmysql_perf_schema_file_instances_totalのエラーも修正されました。
• PMM-14957、PMM-14951：ダッシュボード間を移動する際にクエリパラメータが破損し、ダッシュボードにデータが表示されなかったり、誤ったタイムゾーンが使用されたりする問題を修正しました。
• PMM-14940：Grafanaプラグインページ（AlertManagerやBarグラフなど）の外部リンクが、以前は空白ページを表示したり、新しいタブではなくPMM内で開いたりしていた問題を修正しました。

---

Percona Monitoring and Management (PMM) 3.7.1 リリース情報（Percona社ウェブサイト）：
https://docs.percona.com/percona-monitoring-and-management/3/release-notes/3.7.1.html

---

Perconaサポート・コンサルティング

Perconaサポート・コンサルティングサービスはPercona Serverをご利用頂いているお客様が安心してお使い頂くために専門的なサポートを提供するサービスです。