cPanel の脆弱性 CVE-2026-65643 が FIX：サーバ全体の root 権限奪取

Critical cPanel Vulnerability Allows Attackers to Take Full Server Control

2026/08/28 CyberSecurityNews — cPanel／WHM が公開したのは、新たに発見された脆弱性 CVE-2026-65643 に関する情報である。広く利用されている Web ホスティング・コントロールパネルでは、脆弱性を悪用する低権限の認証済みユーザーが、root 権限でサーバ全体を制御する可能性がある。この脆弱性は、cPanel のドメイン・パーキング機能に存在し、cPanel の Support Engineer である Devon Courtney が 2026年8月27日に公開したセキュリティ情報で詳細が明らかにされている。同情報によると、パークド・ドメイン／アドオン・ドメインを追加する権限を持つ認証済み cPanel アカウントの所有者は、この脆弱性を悪用することで、基盤となるサーバ上の任意の場所に任意のファイルを作成できるようになる。

サーバ全体の乗っ取りにつながる cPanel の脆弱性

ドメイン・パーキングは一般的な機能であり、ホスティング・サービスの顧客は、別のアカウントを設定することなく、追加のドメイン名を既存の Web サイトに割り当てられる。そのため、cPanel を実行する大半の共有ホスティング／リセラー・ホスティング環境において、この機能が有効化されている。

この脆弱性を悪用する攻撃者は、任意のファイルを作成できるため、高度なエクスプロイト技術や複数の脆弱性の連鎖を必要としない。安価な共有ホスティング・プランの契約や、侵害された顧客アカウントを通じて容易に取得できる、正規の低権限 cPanel ログインだけで攻撃を開始できる。cPanel が明らかにしているように、本当の危険性は、この任意のファイル作成機能を利用することで、攻撃者が root ユーザーとしてコードを実行し、マシン全体の制御権を取得できる点にある。

さらに、共有ホスティング・サーバでは、侵害された 1 つのアカウントだけでなく、同じサーバ上でホストされている他の Web サイト／データベース／メール・アカウントも攻撃にさらされる。マルチテナント・インフラを運用するホスティング・プロバイダーでは、悪意の顧客や侵害された顧客の 1 つのアカウントを起点として、攻撃者が制御する自身のアカウントからサーバ全体へ攻撃範囲を拡大し、Web サイトの改ざん／顧客データの窃取／マルウェアの展開などを達成し、プロバイダーのネットワークへの攻撃の踏み台としてサーバを悪用する恐れがある。

cPanel によると、この脆弱性は、現在サポートされている cPanel／WHM の全バージョンに影響を及ぼす。同社は、すべてのアクティブなリリース・ティアに対して修正済みのビルドをリリースしており、その対象は、バージョン 11.110.0.141 以降／11.134.0.53 以降／11.136.0.37 以降／11.138.0.2 以降となっている。

また、そのアップデート・トラックを使用するサーバでは、WP2 ビルド 11.138.1.7 以降が提供されている。古いサポート終了ブランチを使用している管理者には、これらの修正が提供されないため、サポート対象バージョンへアップグレードしない限り、脆弱な状態が継続する。

この脆弱性の悪用に必要なのは、ドメイン・パーキング権限を持つ認証済みアカウントだけであるため、ホスティング・プロバイダー／システム管理者は、このパッチの適用を緊急かつ最優先で進める必要がある。通常、cPanel は自動アップデートを配信するが、手動のアップデート・ポリシーや独自のデプロイメント・スケジュールを採用している管理者は、現在のビルド・ナンバーと修正済みバージョンを照合した上で、速やかにアップデートを適用する必要がある。

プロバイダーは、パークド・ドメイン／アドオン・ドメイン追加権限を持つ顧客アカウントを確認した上で、パッチを適用するまでの間、これらの機能の一時的な制限を検討すべきである。共有ホスティング／リセラー・ホスティングにおいて、cPanel が広く普及していることを考えると、脆弱性の公開から大規模な悪用の試みが始まるまでの期間はきわめて短くなる可能性が高い。したがって、迅速なパッチ適用が、この脆弱性に対する最も効果的な防御策となる。

Web ホスティング管理ツール cPanel のドメイン追加機能に、不適切な権限処理の不備が存在します。低権限の認証済みアカウントを悪用する攻撃者が、任意のファイルを作成し、最終的にサーバ全体の root 権限を奪取する恐れがあります。共有環境では他のシステムの乗っ取りへ繋がるため、その影響はきわめて重大です。最新版へのアップデートによる修正パッチ適用に加えて、パッチ適用完了までのドメイン追加機能の一時制限／当該権限を持つアカウントの確認といった対応が求められます。