OWN NEWS GATHER
← 戻る
The Hacker News

cPanelの同期機能などに深刻な脆弱性、一般アカウントからサーバー完全掌握や他者DB改ざんの恐れ

要点

  • Webホスティング管理ツール「cPanel」の同期機能に、一般アカウントから最高管理者（root）権限を取得できる深刻な脆弱性が判明した。

  • WordPress管理拡張機能「WP Toolkit」にも、他アカウントのデータベースを変更可能な別の脆弱性が確認された。

  • 他者の予定や連絡先を閲覧できる欠陥を含む計3件の脆弱性に対し、開発元は2026年9月22日に修正版を公開した。

  • 記事公開時点で悪用被害や米CISAの悪用カタログ登録は確認されていないが、回避策はなく迅速な更新が推奨されている。

  • 広く利用されているWebホスティング管理ツール「cPanel」において、共有サーバーの一般アカウントからサーバーの最高管理者（root）権限を奪取できる脆弱性など、計3件のセキュリティ上の欠陥が明らかになった。開発元の米cPanel社は2026年9月22日付でセキュリティアドバイザリを一斉に公開し、影響を受けるバージョンの管理者に対して修正版への即時アップデートを呼びかけている。

一般アカウントからroot権限を奪取可能な脆弱性（CVE-2026-87899）

最も深刻度が高いとされるのが、cPanelに搭載されているカレンダーおよび連絡先同期サービス（CalDAVおよびCardDAV）に存在する脆弱性「CVE-2026-87899」だ。この欠陥が悪用された場合、サーバー上にホスティングアカウントを持つログインユーザーであれば、root権限（システムに対する完全な操作権限）で任意のコードを実行できるようになり、最終的にサーバー全体の完全な制御権を奪われる危険がある。

本脆弱性の悪用に必要な条件として、cPanel側は「有効なホスティングアカウントを所持していること」以外に特別な要件を挙げていない。そのため、1台のサーバーリソースを複数の契約者で共有する「共有ホスティング環境」においては、一般の利用客や、不正アクセス等で認証情報を窃取されたアカウントを踏み台にして、同一サーバー内の全環境が乗っ取られる恐れがある。

WordPress管理機能「WP Toolkit」における他者データベースの改ざん（CVE-2026-87900）

2つ目の脆弱性「CVE-2026-87900」は、WordPressサイトの導入や運用管理を行うプラグイン「WP Toolkit」において、データベース作成コマンドを処理する仕組みの不備に起因する。この欠陥により、cPanelにログインしたユーザーが、同一サーバー上にある他のアカウントに属するデータベースに対して不正に変更を加えられる状態になっていた。

cPanelの発表では「他アカウントにおけるデータベースの変更を実行できる」との説明にとどまっており、具体的にどのような改変が可能なのか、他アカウントのデータ読み取りまで行えるのか、あるいは攻撃者がWP Toolkit機能自体の利用権限を必要とするのかといった詳細な挙動は明らかにされていない。なお、WP ToolkitはcPanelの親会社であるWebPros社が提供する別のホスティング管理ツール「Plesk」向けにも提供されているが、Plesk版における影響の有無については言及されていない。

連絡先・予定情報の不正閲覧を許す第3の欠陥（CVE-2026-68490）

3つ目の脆弱性「CVE-2026-68490」は、CVE-2026-87899と同じくCalDAV/CardDAVサービス内に存在する。この欠陥では、サーバー上のローカルユーザーが、他のアカウントが保持しているカレンダーの予定や連絡先データを不正に読み取ることが可能になる。

ただし、この脆弱性単体ではデータの改ざんや管理者権限の取得までは行えないと報告されている。

影響を受けるバージョンと修正ビルド

今回公表された3件の脆弱性のうち、カレンダーおよび連絡先機能に関する2件（CVE-2026-87899、CVE-2026-68490）は、cPanel & WHMのバージョン120以降に影響する。一方で、cPanel社が修正ビルドを提供しているのはバージョン134、136、138の各リリース系統およびWP Squaredに限られており、バージョン120台など古いリリースラインに対する修正ビルドはリストアップされていない。

各脆弱性の影響範囲および修正バージョンは以下の通りである。

  • CVE-2026-87899（root権限昇格） / CVE-2026-68490（情報閲覧）:
    • 影響対象: cPanel & WHM バージョン 120 以降
    • 修正版: バージョン 11.134.0.57 以降、11.136.0.41 以降、11.138.0.8 以降、および WP Squared 11.138.1.11 以降
  • CVE-2026-87900（他アカウントDB改ざん）:
    • 影響対象: WP Toolkit バージョン 6.11.2-10794 以前
    • 修正版: WP Toolkit バージョン 6.11.3 以降

脆弱性の発見経緯と悪用の現状

これら3件の脆弱性はすべて、「rz1027」の名で知られるセキュリティ研究者のAli Mustafa氏によって発見・報告された。同氏は2026年8月27日以降、cPanelおよびPleskにおいて少なくとも7件の脆弱性を報告しており（そのうち3件は研究者abed1526氏との共同報告）、精力的な調査を行っている。

同氏が報告した直近の事例としては、9月8日に判明したcPanelのメール追跡機能「EmailTrack」におけるroot権限昇格の欠陥や、9月10日にPleskが修正したバックアップ復元時のシンボリックリンク競合や未署名バックアップヘッダーによるパストラバーサル（ディレクトリ走査）など、サーバー乗っ取りにつながる欠陥が含まれている。

なお、今回公開された3件のアドバイザリでは、いずれも野生環境での実際の悪用被害には言及されておらず、更新適用前に攻撃を受けたかどうかを調査する手段も提示されていない。また、The Hacker Newsが2026年9月23日時点で確認したところ、米サイバーセキュリティ・インフラセキュリティ庁（CISA）の「既知の悪用された脆弱性カタログ（KEV）」への登録も行われていないという。

アップデート手順と管理者の対応

cPanelは、本脆弱性に対する一時的な回避策（ワークアラウンド）を提供しておらず、影響を受ける環境に対して速やかにソフトウェアを更新するよう案内している。cPanel & WHMとWP Toolkitは独立したパッケージとして管理されているため、それぞれ個別の更新作業が必要となる。

  • cPanel & WHMの更新手順:
    WHM（サーバー全体の設定を行う管理者向けインターフェース）の画面から「Home / cPanel / Upgrade to Latest Version」を選択して更新するか、root権限でコマンド /usr/local/cpanel/scripts/upcp --force を実行する。この更新処理により、既存アカウントにおけるカレンダーおよび連絡先のアクセス権限も自動的に修復される。
  • WP Toolkitの更新手順:
    専用パッケージ「wp-toolkit-cpanel」を最新化するため、サーバー上で以下のコマンドを実行してバージョン6.11.3以降へアップデートする。
    bash <(curl https://wp-toolkit.plesk.com/cPanel/installer.sh || wget -O - https://wp-toolkit.plesk.com/cPanel/installer.sh) --version 6.11.3
元URL