OWN NEWS GATHER
← 戻る
The Hacker News

cPanelとWHMにroot権限奪取の深刻な脆弱性「CVE-2026-65643」が判明、修正パッチが提供開始

要点

  • Webホスティング管理ツール「cPanel」および「WHM」において、サーバーのroot権限が奪取される恐れのある重大な脆弱性「CVE-2026-65643」が判明した。

  • 認証済みのアカウントがドメイン機能を通じて任意ファイルを作成し、root権限でコードを実行できる状態になっていた。

  • 開発元はサポート対象の各ブランチ向けに修正バージョンをリリースし、自動更新や手動コマンドによる適用を呼びかけている。

  • 現時点でCVSSスコアや悪用事例は報告されていないものの、一時的な緩和策は提示されていない。

  • Webホスティング管理プラットフォームの「cPanel」およびサーバー管理ツール「WebHost Manager（WHM）」において、サーバー全体の完全な制御権を乗っ取られる可能性がある深刻なセキュリティ脆弱性が判明した。開発元のcPanelは2026年8月27日、顧客向け通知およびセキュリティアドバイザリを公開し、この問題（CVE-2026-65643）に対処する修正パッチの配信を開始した。

脆弱性の概要と想定されるリスク

今回公表された脆弱性は「CVE-2026-65643」として識別されており、サポートされているすべてのバージョンのcPanel & WHMが影響を受ける。cPanelの説明によると、この問題はドメインのパーキング機能（未使用ドメインを保持する機能）およびアドオンドメイン機能（1つのアカウント内で別ドメインを運用する機能）に起因しているという。

具体的には、パーキングドメインやアドオンドメインを追加できる権限を持った認証済みのアカウント保持者が、サーバー上に任意のファイルを作成できる不備が存在する。攻撃者がこの欠陥を悪用した場合、サーバーの最上位管理者であるrootユーザーの権限で任意のコードを実行可能となり、サーバー全体の完全な制御権を掌握される危険性があるとされている。

なお、cPanelが7月に公開したメール転送エージェント（Exim）の権限昇格に関するアドバイザリでは、サブアカウントである「Team User」からの悪用可能性に言及していたが、今回の8月27日の通知では、ドメイン権限を持つTeam Userが攻撃対象の範囲に含まれるかどうかについては明記されていない。

修正バージョンの詳細と適用方法

cPanelは本脆弱性を修正した以下のビルドを公開している。

  • 11.110.0.141 以降
  • 11.134.0.53 以降
  • 11.136.0.37 以降
  • 11.138.0.2 以降
  • 11.138.1.7 以降（WordPress特化型管理ツールの「WP Squared」向け）

今回の修正リストにはWP Squaredが含まれている一方で、ネームサーバー専用エディションである「DNSOnly」に関する言及はない。また、7月の脆弱性修正時には11.118や11.126といったブランチも対象に含まれていたが、今回の修正対象は110、134、136、138ブランチとなっており、11.118および11.126ブランチのサポート継続状況については明らかにされていない。

パッチの適用について、毎日の自動アップデートが有効になっているサーバーでは自動的に修正ビルドが反映される。手動で即時適用を行う場合は、root権限でサーバーにログインした上で /scripts/upcp --force コマンドを実行する。また、WHMの管理画面（Home > cPanel > Upgrade to Latest Version）からも更新が可能で、適用状況は「Server Configuration > Update Preferences」から確認できる。なお、サポートが終了（EOL）しているバージョンを運用している環境では、修正を受け取るためにサポート対象の現行バージョンへ移行する必要がある。

公開状況と関連する脆弱性の動向

本脆弱性に関する顧客向け通知には、脆弱性の深刻度を数値化したCVSSスコアが記載されていない。また、The Hacker Newsが2026年8月28日にCVE Programのレコードを確認した時点では、CVE-2026-65643の公式レコードは未公開の状態であった。7月31日に開示された2件の脆弱性（CVE-2026-58048、CVE-2026-58047）については既に登録が確認されている。

現時点でcPanel側から実際の悪用事例に関する発表はなく、米サイバーセキュリティ・インフラセキュリティ庁（CISA）の「悪用が確認された脆弱性（KEV）カタログ」にも、8月27日時点の更新版では本件は登録されていない。ただし、同カタログには過去にLiteSpeed cPanelプラグインの権限昇格（CVE-2026-48172）やシンボリックリンク関連の欠陥（CVE-2026-54420）、4月にランサムウェア攻撃での悪用が確認されたcPanelの認証バイパス（CVE-2026-41940）など、関連する脆弱性が複数追加されている。

今回の通知では、修正パッチ以外の暫定的な緩和策や、サーバーがすでに侵害されていないかを検証する手段は提示されていない。同社が8月14日に公開したPhusion Passenger関連のアドバイザリではログ調査用コマンドが示されていたのとは対照的である。同じくWebProsが開発するホスティング管理ツール「Plesk」は、Passengerの脆弱性アドバイザリにおいて「パッチ適用は今後の脆弱性を塞ぐが、攻撃者がすでに行った行為を取り消すことはできない」と指摘している。

元URL