研究者らは、CyberPanelにおいて認証前のリモートコード実行(RCE)が可能となる脆弱性チェーンを明らかにしました。これにより、インターネット上の攻撃者が資格情報を一切持たずに、脆弱なサーバー上でコマンドを実行できる可能性があります。
Hacking& Cracking
この攻撃は、公開状態にあったAI Scannerインターフェース、CVE-2026-41473として追跡されている認証の不備、CVE-2026-41472として追跡されている格納型クロスサイトスクリプティング(XSS)、そしてCyberPanelに組み込まれたcronジョブ機能を組み合わせたものです。
CyberPanelは、ウェブサイト、DNS、メール、データベース、ユーザー、スケジュールタスクを管理するウェブホスティング制御パネルです。このプラットフォームが侵害されることは、サーバー管理層そのものにあたるだけに、特に深刻な事態と言えます。
Pentera社の研究者Nir Chako氏は、この脆弱性チェーンを「ShadowPanel」と名付けました。CyberPanelバージョン2.4に影響を及ぼし、個別には限定的だった一連の弱点を組み合わせることで、ログイン不要でホストレベルのアクセスを得る経路へと変貌させます。
CyberPanelのプリ認証RCEの欠陥
攻撃の第一段階は、CyberPanelのAI Scanner機能に焦点を当てています。研究によると、/api/ai-scanner/list-api-keysなどの公開されたデバッグAPIルートは認証なしにクエリでき、最近のスキャンに関する情報(有効なスキャン識別子を含む)が返される状態でした。
これらのスキャンIDは重要な意味を持ちます。というのも、認証を必要としないコールバックエンドポイントが送信された結果を受け付ける際には、有効なscan_idが必須となるためです。
CVE-2026-41473は、AI Scannerワーカー側のAPIエンドポイントにおける認証の欠如に関するもので、未認証のリモート攻撃者が/api/ai-scanner/status-webhookや/api/ai-scanner/callbackといったエンドポイントを通じて、アプリケーションのデータベースに任意のデータを書き込めてしまう問題です。
有効なスキャンIDさえあれば、攻撃者は悪意のあるJavaScriptを含む偽造スキャン結果を送信できます。このデータはデータベースに保存され、その後AI Scannerダッシュボード上で、適切な出力エスケープが行われないまま表示されてしまいます。
CVE-2026-41472は、CyberPanelのAI Scannerダッシュボードにおけるこの格納型XSS脆弱性を指すものです。管理者が影響を受けるスキャン結果を開くと、攻撃者が制御するスクリプトがその管理者のブラウザセッション内で実行される可能性があります。
実証されたこの攻撃チェーンでは、目に見える形の攻撃をすぐに仕掛けるのではなく、管理者のアクティブなセッションとCSRFコンテキストを悪用して、新たなCyberPanel管理者アカウントを作成します。
この手法により、ブラウザ側のXSS脆弱性が、被害者が通常のスキャン結果レビューを行っている間に気づかれることなく、制御パネルへの永続的かつ特権を持つアクセスへと変換されてしまいます。
管理者権限を取得した後、研究者らはCyberPanelの標準的なウェブサイト管理機能とcronジョブ管理機能を用いて、オペレーティングシステムのコマンドを実行しました。
研究チームの調査では、スケジュールタスクを作成する際にcronCommandパラメータが安全に処理されておらず、シェルコマンドインジェクションが可能になっていることが判明しました。
ここで重要なのは、cronジョブが本来的にコマンドを実行できる機能を持つという点です。したがって、攻撃者の主な狙いはインジェクションそのものだけではなく、cronジョブの作成が可能な認証済みパネルアクセスを確保することにありました。連鎖した脆弱性は、その不足していた権限境界を補い、最終的に影響を受けたサーバー上でリバースシェルを実現させることを可能にしました。
Hacking& Cracking
Pentera社は、この脆弱性チェーンの全容を2026年5月4日にCyberPanel側に報告しました。CyberPanelはおよそ4時間以内に修正を実施し、デバッグエンドポイントの削除、コールバック認証の追加、出力エスケープの実装を行いました。
管理者は直ちにCyberPanelを最新のパッチ適用版へアップデートすべきです。すぐにパッチを適用できない組織については、AI Scanner機能を無効化し、/api/ai-scanner/list-api-keysおよび/api/ai-scanner/test-authへのアクセスをブロックし、管理パネルへのアクセスを制限した上で、不審なAI Scannerコールバック、スキャン結果の予期しない変更、新規作成された管理者、および許可されていないcronジョブがないかログを確認することが推奨されます。
調査の遅れによるインシデントを防ぎましょう。15,000のSOCから得られる脅威インテリジェンスで、Tier 1の対応力を強化できます: SOCにTI Lookupを統合する
翻訳元: https://gbhackers.com/cyberpanel-pre-auth-rce-flaws/
