Multiple cPanel & WHM Vulnerabilities Enable Root Code Execution and Admin Session Hijacking
2026/10/02 gbhackers — cPanel が公表したのは、cPanel & WHM に存在する 3 件の脆弱性であり、攻撃者による WHM 管理者セッションの乗っ取りや root ユーザーとしてのコマンド実行につながる可能性があると警告している。すでに同社は、これらの脆弱性に対するセキュリティ・アップデートをリリースしており、影響を受ける環境を使用する組織には、これを優先して適用することが求められる。これらの脆弱性は、新たにリリースされた修正版より前の、サポート対象となるすべての cPanel & WHM に影響する。
cPanel & WHM の脆弱性
最も深刻な脆弱性 CVE-2026-93698 は、Multilang adminbin コンポーネントにおける入力検証の不備に起因する欠陥であり、同コンポーネントを介した任意のコマンド実行を引き起こす可能性がある。cPanel のアドバイザリによると、この脆弱性の悪用に成功した攻撃者は、Linux サーバ上で最高権限を持つ root ユーザーとしてコードを実行する恐れがある。その後に、サーバを完全に制御して、ホストされている顧客アカウント／Web サイト／アプリケーション・ファイル／メールデータ／データベース／サーバの設定などへアクセスする可能性がある。
公開情報では、脆弱性 CVE-2026-93698 は、CVSS 9.9 (Critical) と評価されている。このスコアが示すのは、ネットワーク経由で到達できる低複雑性の攻撃経路の存在と、機密性／完全性／可用性に深刻な影響を及ぼす可能性である。
ただし、防御側は脆弱性による影響と、悪用の前提条件を区別する必要がある。cPanel が公開したアドバイザリでは、Multilang adminbin を介した任意のコマンド実行が可能と説明されている。その一方で、第三者が提供する情報では、悪用に必要な前提条件について異なる解釈が示される場合がある。したがって、管理者が修正の判断材料とすべき情報源は、ベンダーが提供するアップデート情報となる。
残る 2 件の脆弱性 CVE-2026-93029／CVE-2026-93697 は、WHM の管理インターフェイスに存在する格納型クロスサイト・スクリプティング (XSS) の欠陥である。CVE-2026-93029 は Manage SSL Hosts インターフェイスに、CVE-2026-93697 は Mass Modify Accounts インターフェイスに影響を及ぼす。いずれの脆弱性でも、権限を持たないアカウント所有者が悪意のスクリプトを蓄積した後に、そのインターフェイスに管理者がアクセスすることで、スクリプトの実行に至る可能性がある。
このスクリプトは、管理者が認証済みの WHM セッションの権限で実行されるため、攻撃者は標的の管理者に許可されている管理操作を実行する可能性がある。共有ホスティング／マルチテナント型のサーバ環境では、深刻なセッション・ハイジャックのリスクを引き起こす。
想定される影響には、ホスティング・アカウント設定の変更／SSL 設定の変更／アカウントの作成や変更などに加えて、管理者権限を利用したさらなる永続性の確立が含まれる。この XSS の脆弱性により、高い権限を持つ管理機能を標的にできるため、単なる軽微なブラウザ側の問題として軽視すべきではない。
すでに cPanel は、3 件の脆弱性に対する修正版としてバージョン 11.110.0.148／11.134.0.61／11.136.0.45／11.138.0.11 をリリースしてこの問題に対処している。cPanel & WHM の利用者には、11.138.1.13 以降への速やかなアップデートが求められる。これらのアドバイザリは 2026年9月29日に公開された。
管理者に推奨されるのは、影響を受けるサーバを最新の修正版へ速やかにアップデートし、その上で侵害後の活動を示す兆候を確認することである。その上で、WHM のアクセスログ／特権セッションにおける活動／アカウントの変更／SSL ホスト設定の変更／予期しないコマンド実行を調査すべきである。
アップデートを展開するまでの間は、WHM への管理アクセスを信頼できる IP アドレスに制限すること／多要素認証を必須化すること／特権を持つ WHM ユーザー数を削減することにより、リスクを抑制すべきである。
cPanel & WHM において、特定のコンポーネントにおける入力検証不備や管理画面での格納型 XSS という欠陥が存在します。この影響として、攻撃者による最高権限でのコマンド実行／管理者セッションの乗っ取り／ホスティングアカウントや設定の不正変更／機密データへのアクセスが懸念されます。影響対象の脆弱性は CVE-2026-93698／CVE-2026-93029／CVE-2026-93697 です。対応策として、最新の修正版バージョンへの早期更新／管理アクセス制限／多要素認証の必須化／アクセスログやアカウント変更履歴の点検が求められます。
You must be logged in to post a comment.