cPanelに深刻な脆弱性、一般アカウントのメール権限からroot権限を奪取可能に――修正版が公開

要点

• Webホスティング管理ツール「cPanel」および「WHM」の全サポートバージョンにおいて、一般アカウントからサーバー全体の最高管理者権限（root）を奪取できる脆弱性（CVE-2026-67401）が判明した。

• メール関連の権限を持つ認証済みユーザーが「EmailTrack」機能を通じて任意のファイルを作成し、root権限でコードを実行できる状態になっていた。

• 開発元のcPanel社は2026年9月8日にセキュリティアドバイザリを公開し、各リリースライン（110、134、136、138など）向けの修正ビルドを提供している。

• 記事公開時点で悪用報告や公開エクスプロイトは確認されていないものの、即時適用できる回避策が案内されていないため、管理者には速やかなアップデートが求められている。

• Webホスティング管理ソフトウェアの標準的存在である「cPanel」および「WHM」において、単一のホスティングアカウントからサーバー全体の制御権限を掌握できる脆弱性が修正されたことが明らかになった。開発元のcPanel社が2026年9月8日に公開したセキュリティアドバイザリによると、サポート対象となっているすべてのバージョンが本脆弱性の影響を受けるという。

メール機能経由でroot権限へ昇格する脆弱性の詳細

今回確認された脆弱性は「CVE-2026-67401」として追跡されている。cPanel社のアドバイザリでは、メール統計情報を追跡する「EmailTrack」機能に存在するSQLインジェクション（データベースへの問い合わせ処理の不備を突いて不正操作を行う手法）の不具合であると説明されている。

cPanel環境では通常、Webサイトの運営者などの顧客が1つのホスティングアカウントを「cPanel」から操作し、ホスティング事業者はサーバー全体を統括する「WHM」を通じて最高管理者であるroot権限（Linuxシステム等において全操作が可能な最高権限）で管理する仕組みとなっている。しかし本脆弱性を悪用された場合、メール関連の権限を持つ認証済みのアカウント所有者が、EmailTrackを介してサーバー上に任意のファイルを生成し、そこからroot権限でコードを実行できてしまうとされる。

サーバーのroot権限が奪われた場合、攻撃者は同一マシン上に同居するすべてのホスティングアカウントのデータを閲覧・改ざんできるほか、隠しアカウントの作成、マルウェアの配置、認証情報の窃取、さらには顧客の内部ネットワークへの侵入といった広範な侵害が可能になるとセキュリティ専門家は指摘している。なお、アドバイザリ内ではSQLインジェクションがどのような仕組みでファイル作成やroot権限の昇格につながるのか、また具体的にどのアカウント権限が前提条件となるのかといった技術的詳細までは明かされていない。

修正済みビルドとアップデート手順

cPanel社は、本脆弱性を解消した以下の修正ビルドを公開し、利用者に適用を呼びかけている。

• 11.110系列：11.110.0.143
• 11.134系列：11.134.0.55
• 11.136系列：11.136.0.39
• 11.138系列：11.138.0.4
• WP Squared系列：11.138.1.9

サーバーの更新は、WHMの管理画面（Home / cPanel / Upgrade to Latest Version）から実行できるほか、コマンドラインからroot権限でログインし /usr/local/cpanel/scripts/upcp --force を実行することでも適用が可能とされている。

一方で、直ちにバージョンアップを実施できない環境に対する一時的な緩和策や回避策は提示されていない。同社が2026年7月30日に公開したデータベース関連の脆弱性（CVE-2026-58048）のアドバイザリでは、即時更新が困難な管理者向けに「MySQL機能を一時的に無効化する」という代替手段が案内されていたが、今回はそうした手順の案内はない。また、修正ビルドを適用することで過去に攻撃を受けていた場合の被害が解消されるのかどうか、あるいは侵害の痕跡を管理者がどのように確認すべきかについてもアドバイザリには記載されていない。

加えて、修正リストには110、134、136、138の各系列が並ぶ一方、7月のアドバイザリで修正版が提供されていた11.118や11.126系列への言及がなく、これらのバージョンが現在もサポート継続中であるかは明記されていない状況となっている。

深刻度と相次ぐ権限昇格脆弱性の背景

今回のアドバイザリ自体には、脆弱性の深刻度を示すCVSS（共通脆弱性評価システム）スコアは記載されていない。近年のcPanelの脆弱性はバグバウンティプラットフォームのHackerOneを通じて採番されており、スコアはアドバイザリ公開後にCVEレコード側へ反映される傾向がある。例として、8月に公開された脆弱性ではアドバイザリの5日後にCVSSスコア「8.7（重要）」が記録されていたが、9月9日時点でCVE-2026-67401のCVEレコードはまだ公開されていない。

悪用の状況については、9月9日時点の調査で公のエクスプロイトコードや実際の悪用被害は確認されておらず、米サイバーセキュリティ・インフラセキュリティ庁（CISA）が公開している「悪用が確認された脆弱性カタログ（KEV）」の9月8日版にも登録されていない。ただし、2026年4月に判明した認証回避の脆弱性（アカウント不要で侵入可能な欠陥）がランサムウェア攻撃で実際に悪用されKEVに登録された前例もあることから、警戒が緩められる状況ではないとされる。

cPanelでは7月下旬以降、一般のホスティングアカウントを起点とする権限昇格の脆弱性が相次いで報告されている。7月30日にはデータベース権限から管理者権限でコマンド実行が可能になる欠陥が、8月27日にはドメインパーキング機能のevalインジェクションによりroot権限でコード実行が可能になる欠陥が開示された。これら過去2件については、動作可能を謳うエクスプロイトがオンライン上に現れている。

なお、今回の脆弱性はAli Mustafa氏（rz1027）およびabed1526氏によって報告された。Ali Mustafa氏は8月の脆弱性報告者としても名を連ねているが、cPanel側のアドバイザリでは8月の事案（evalインジェクション）と今回の事案（SQLインジェクション）が同一のコードに起因するものとは位置づけられていない。