CyberPanelに新たに公表された未認証のリモートコード実行脆弱性チェーンにより、攻撃者が認証なしで公開サーバーを侵害できる恐れがあります。
Pentera社の研究者Nir Chako氏によって「ShadowPanel」と名付けられたこの攻撃は、同プラットフォームのAI Scannerコンポーネントの弱点と組み込みのcronジョブ機能を組み合わせることで、未認証状態からホストレベルのコマンド実行にまで至ります。
CyberPanelは、ウェブサイト、DNS設定、メールアカウント、データベース、ユーザー、スケジュールタスクを管理するためのウェブホスティング用コントロールパネルです。
このソフトウェアはサーバー上でホストされているサービスの管理層として機能するため、侵害に成功した場合の影響は特に深刻になります。
コントロールパネルの権限を奪った攻撃者は、ウェブサイトの改ざん、ユーザーアカウントの作成、データベースへのアクセス、さらには永続的なアクセス経路の確立まで行える可能性があります。
ShadowPanelの攻撃チェーンはCyberPanelバージョン2.4に影響し、単体では危険度が低い複数の弱点を組み合わせることで、より深刻な脅威となります。
攻撃の最初の段階では、公開されているAI Scannerのインターフェースが標的となります。研究者らは、/api/ai-scanner/list-api-keysを含む未認証のデバッグ用APIルートから、直近のスキャン活動に関する情報が漏えいすることを発見しました。
この情報には、有効なスキャン識別子であるscan_idの値が含まれていました。CyberPanelのAI Scannerコールバック機構は、スキャン結果を受け付ける前に有効なスキャンIDを要求するため、この識別子は攻撃の要となります。
正規の識別子を入手した攻撃者は、脆弱なワーカーエンドポイントとやり取りし、攻撃者が制御するデータをアプリケーションに送信できるようになります。
CVE-2026-41473は、CyberPanelのAI Scannerワーカー APIにおける認証バイパスの脆弱性として追跡されています。この不具合は/api/ai-scanner/status-webhookや/api/ai-scanner/callbackなどのエンドポイントに影響し、これらは受信リクエストが正当なものであるかを十分に検証していませんでした。
その結果、リモートの攻撃者はCyberPanelのアカウントや有効な管理者資格情報を持っていなくても、スキャン関連のデータベースエントリに任意の内容を書き込めてしまいます。
次の段階は、AI Scannerダッシュボードにおける格納型クロスサイトスクリプティングの脆弱性であるCVE-2026-41472です。攻撃者は未認証のコールバック機能を悪用し、偽造したスキャン結果に悪意のあるJavaScriptを注入できます。
CyberPanelはこれらの結果をデータベースに保存し、後にAI Scannerのインターフェース上で表示しますが、その際に信頼できないコンテンツを適切にエスケープしていませんでした。
管理者が改ざんされたスキャン結果を開くと、悪意のあるスクリプトが管理者の認証済みブラウザセッション内で実行されます。これにより攻撃者は、被害者のアクティブなCyberPanelセッションを介して操作を実行できるようになります。
Pentera社の実証実験では、このアクセスを利用して新たなCyberPanel管理者アカウントを作成し、ブラウザベースのXSSの不具合を永続的な特権アクセスへと変えることに成功しました。
最終段階では、CyberPanelが正規に備えているcronジョブ管理機能が悪用されます。cronジョブはスケジュールされたOSコマンドを実行するために設計されており、管理者にとって強力な機能である一方、攻撃者にとっても影響の大きい標的となります。
パネルへの特権アクセスを得た後、研究者らは脆弱なサーバー上でリバースシェルを生成するコマンドを含むスケジュールタスクを作成しました。
この攻撃チェーンは、脆弱性の深刻度を単体で評価できるとは限らないことを示しています。公開されたデバッグインターフェース、未認証でのデータベース書き込み、格納型XSS、そして特権的な管理機能が組み合わさることで、完全な攻撃経路が形成される場合があるのです。
Pentera社はこの問題を2026年5月4日にCyberPanelへ報告しました。CyberPanelは報告からおよそ4時間以内に、デバッグ用エンドポイントの削除、コールバック認証の追加、出力のエスケープ処理の実装といった修正を実施したとされています。
管理者は直ちに最新のパッチ適用済みCyberPanelリリースへアップグレードすべきです。パッチ適用が完了するまでの間は、可能な限りAI Scannerを無効化することが推奨されます。
管理パネルへのアクセスを制限し、脆弱なAI ScannerのAPIパスをブロックした上で、予期しないコールバック、改ざんされたスキャン結果、新規に作成された管理者アカウント、不正なcronジョブがないか調査してください。
不審な活動をより迅速に調査し、被害が拡大する前に脅威を封じ込めるための可視性とコンテキストを、セキュリティチームに与えましょう。ANY.RUNで調査能力を強化する
翻訳元: https://cyberpress.org/cyberpanel-flaws-chain-authentication-bypass/
