Tailscale SSH を使う tailnet は、調査・対処更新ページと TS-2026-014〜017 の各 bulletin で自分の構成が該当するかを確認し、修正版クライアントへ上げる。現時点の評価では、利用者全員が Tailscale SSH を無効化する必要はない。
影響の整理
判明している問題の多くは特権昇格で、Tailscale SSH で接続が許可された主体が、設定されたローカル Linux/Unix ユーザの権限を超える操作を行える場合がある。深刻度は接続ユーザやデバイスに付与された権限、ホスト設定、その他の条件に依存し、影響を受ける構成の洗い出しは継続中。
bulletin ごとの該当条件の目安：
- TS-2026-014: Tailscale SSH を有効にし、アクセスポリシーでローカル転送またはリモート転送を許可している
- TS-2026-015: Tailscale SSH サーバを動かしているノードで、ポリシー上許可された認証済みセッションから悪用可能
- TS-2026-016: Unix ソケットをバックエンドにした Tailscale Serve を使い、ローカルで serve 設定を書き換えられる、またはバックエンドパスへ書き込める
- TS-2026-017: TLS 付き Serve で capability 要件の異なるマウントが同一ノードに複数あり、1 接続上で HTTP/2 ストリームが同時に流れる
未認証の第三者が任意の Tailscale SSH サーバへ接続できる類の問題ではない。tailnet ポリシーで SSH が明示的に許可された、既に認可された peer 上の足場と、脆弱な機能を使う条件が揃った場合に限る。
対処
修正は Tailscale v1.104.4 以降に入っている。Tailscale SSH を使うノードはこの版以上へ更新する。
修正版を当てるまでの暫定措置として、調査更新ページは次を挙げている。
- SSH アクセスポリシーを見直し、必要なユーザとデバイスだけに限定する
- 転送が不要なら
tailscaledサービス環境にTS_SSH_DISABLE_FORWARDING=1を設定してサービスを再起動する。Tailscale SSH 全体は止めず転送だけ無効化でき、より深刻な所見のいくつかを緩和する（TS-2026-014 の bulletin でも同手段を記載） - 機密度の高い系統では、調査が進む間だけ SSH ポリシーを一時的に絞る
- パッチ済みクライアントの公開に合わせて更新の準備をする
技術ブログ側の追加推奨として、敏感な系統では SSH check mode（接続前の追加認証）の利用も挙がっている。