広く利用されているウェブホスティング管理プラットフォームcPanelおよびWHMで新たに脆弱性が発見されました。この脆弱性を悪用すると、権限の低い認証済みユーザーであってもサーバー全体をroot権限で制御できるようになる可能性があります。
CVE-2026-65643として追跡されているこの問題はcPanelのドメインパーキング機能に影響するもので、2026年8月27日にcPanelのサポートエンジニアであるDevon Courtney氏によって公開されたセキュリティアドバイザリで詳細が明らかにされました。
この脆弱性は特に、多数の無関係な顧客が同一の物理サーバーまたは仮想サーバー上で稼働している共有ホスティング環境やリセラー環境において深刻な問題となります。
cPanelによると、パークドメインまたはアドオンドメインを追加する権限を持つ認証済みアカウントであれば、この脆弱性を悪用して基盤となるサーバー上に任意のファイルを作成できるとしています。
この機能は最終的にroot権限でのコード実行につながる可能性があり、攻撃者はホスティングアカウント間を隔てる通常の分離境界を突破できてしまいます。
ドメインパーキングはcPanelの標準機能であり、顧客が別途ホスティングアカウントを作成することなく、追加のドメイン名を既存のウェブサイトに向けることを可能にします。
パークドメインおよびアドオンドメインは共有ホスティング環境全般で一般的に有効化されているため、脆弱な機能は一般の顧客アカウントからも広く利用可能な状態にある可能性があります。
悪用には認証が必要とはいえ、マルチテナント型のホスティング環境ではその要件による保護効果は限定的です。
攻撃者は低価格のホスティングプランを購入したり、正規の顧客アカウントを侵害したり、あるいはフィッシングやパスワードの使い回し、マルウェアを通じて入手した認証情報を悪用したりすることが考えられます。
いったん認証を通過すれば、攻撃者は該当するドメイン管理権限さえ持っていれば、任意ファイル作成の問題を引き起こせます。
cPanelは、悪用に成功するとrootユーザーとしての実行につながり、攻撃者が対象サーバーを無制限に制御できるようになることを確認しています。
root権限でのアクセスを得た脅威アクターは、ウェブサイトの改ざん、データベースへのアクセス、メールボックスの内容の窃取、設定ファイルや認証情報の窃取、Webシェルや暗号資産マイナーの展開、さらにはサーバーのセキュリティツールの改ざんまで行える可能性があります。
共有システムにおいては、その影響は最初に侵害されたcPanelアカウントの範囲をはるかに超えて広がります。攻撃が成功すれば、同一マシン上でホストされているすべてのウェブサイト、顧客データベース、メールアカウント、バックアップアーカイブ、アプリケーションが露呈する恐れがあります。
攻撃者はまた、侵害したサーバーを内部への足がかりとして利用し、プロバイダーのインフラ内にある他のシステムを狙うことも考えられます。
cPanelのアドバイザリによると、現在サポートされているcPanelおよびWHMのすべてのバージョンが影響を受けるとしています。同社はバージョン11.110.0.141以降、11.134.0.53以降、11.136.0.37以降、11.138.0.2以降向けにパッチ適用済みビルドをリリースしました。WP2アップデートトラックを使用しているサーバーについては、バージョン11.138.1.7以降が必要です。
サポート終了(EOL)となったcPanelのブランチを運用している管理者は、これらのアップデートによる保護を受けられません。該当する環境では、まずサポート対象のリリースブランチへアップグレードした上で、対応するセキュリティ修正を適用する必要があります。
ホスティングプロバイダーおよび管理者は、CVE-2026-65643を緊急のパッチ適用優先事項として扱うべきです。cPanelは通常アップデートを自動で配信しますが、手動でのアップデート運用や段階的ロールアウト、カスタマイズされた展開スケジュールを採用している組織は直ちに対応する必要があります。
アップデートが展開されるまでの間、プロバイダーはパークドメインおよびアドオンドメイン機能へのアクセス権を持つ顧客アカウントを見直すべきです。
特に新規作成されたアカウントや信頼度の低いアカウント、リセラーが管理するアカウントについて、これらの権限を一時的に制限することで、パッチ適用が完了するまでの間、当面の攻撃対象領域を縮小できます。
権限の低い認証済みアクセス、任意ファイル作成、そしてroot権限でのコード実行の可能性が組み合わさっているという点で、この脆弱性はマルチテナント型ホスティング環境にとって特に危険なものとなっています。
セキュリティチームに、不審な活動をより迅速に調査し、ビジネスへの影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/cpanel-flaw-server-control-root-access/
