cPanel/WHMにCVSS 9.8の認証バイパス脆弱性――緊急パッチが公開

ホスティング管理ツール「cPanel」および「WebHost Manager(WHM)」の最新版を除くすべてのバージョンに影響する重大な脆弱性が発見されました。この脆弱性を悪用されると、認証なしでコントロールパネルへのアクセスを許してしまう恐れがあります。

本脆弱性はCVE-2026-41940として識別されており、深刻度スコアは9.8(最大10)です。ベンダーは緊急アップデートを公開しましたが、修正版を取得するには管理者が手動でコマンドを実行する必要があります。

cPanelとWHMはWebPros International社が所有する、Linuxベースのウェブホスティング用コントロールパネルです。WHMがサーバーレベルの管理機能を提供する一方、cPanelはウェブサイトのバックエンド、ウェブメール、データベースへの管理者アクセスを担います。

両製品は世界で最も広く導入されているホスティングコントロールパネルの一つであり、標準化されたインターフェース、技術的に詳しくないユーザーでも扱いやすい操作性、主要なホスティングスタックとの深い統合といった理由から、多くのホスティング事業者に採用されています。

脆弱性の技術的な詳細は現時点で公表されていませんが、その影響の大きさをうかがわせる動きもあります。ホスティング大手Namecheapは、パッチが入手可能になるまでの間、顧客を保護する目的でWHMとcPanelが使用するポート2083および2087へのアクセスを一時的に遮断しました。

Namecheapは「現在サポートされているすべてのバージョンのcPanelソフトウェアに、重大なセキュリティ脆弱性が確認されたことをお伝えせざるを得ません。誠に遺憾です」と述べています。

同社によると、この脆弱性は「認証ログインに関するエクスプロイトに関連しており、権限のない者がコントロールパネルへアクセスできる可能性がある」とのことです。

Namecheapの通知から数時間後、cPanelはセキュリティ情報を公開し、以下の製品バージョンで問題が修正されたと発表しました。

• 11.110.0.97
• 11.118.0.63
• 11.126.0.54
• 11.132.0.29
• 11.136.0.5
• 11.134.0.20

安全なバージョンをインストールするため、ベンダーは管理者に対し「/scripts/upcp --force」コマンドの実行を推奨しています。このコマンドはcPanelの更新プロセスを実行し、システムがすでに最新版だと判断している場合でも強制的に更新を適用します。

なお、サポートが終了した(EOL)バージョンのcPanelを実行しているサーバーはセキュリティ更新の対象外となります。該当する環境では、できるだけ早くサポート対象バージョンへアップグレードすることが強く推奨されます。

攻撃されると何が起こるのか

攻撃者がcPanelへのアクセスを獲得すると、ホスティングアカウント内のあらゆるものを支配できるようになります。ウェブサイトやデータ、メールも例外ではありません。攻撃者はこのアクセス権を利用して、バックドアやウェブシェルの設置、訪問者の悪意あるサイトへのリダイレクト、機密ファイルの窃取、スパムやフィッシングメールの送信、設定ファイルからのパスワード収集などを行う可能性があります。

さらにWHMへのアクセスは、サーバー全体とそこでホストされているすべてのウェブサイトの掌握を意味します。脅威アクターはcPanelアカウントの作成・削除や、マシン上での永続的な足場の確立を行い、トラフィックの中継(プロキシ)、スパム送信、マルウェア配布、ボットネットへの組み込みなど、さまざまな悪意ある活動にそのサーバーを利用しかねません。

影響を受ける管理インターフェースを使用しているウェブサイト運営者は、修正済みバージョンへ更新されていることを必ず確認してください。

更新(4月29日 16:51 EST): VulnCheckが割り当てた追跡番号を追記しました。

Mythosが検出した脆弱性の99%は、いまだ未修正のまま

AIが4つのゼロデイ脆弱性を連鎖させ、レンダラーとOSのサンドボックスを双方回避する単一のエクスプロイトを構築。新たなエクスプロイトの波が到来しつつあります。

Autonomous Validation Summit(5月12日・14日開催)では、自律的かつ豊富なコンテキストを持つバリデーションが、悪用可能な脆弱性を特定し、防御策の有効性を実証し、修復サイクルを完結させるまでの流れをご紹介します。

参加枠を確保する