cPanelは、EmailTrack機能に存在する重大なSQLインジェクション脆弱性を公表しました。この脆弱性を悪用されると、権限の低い認証済みアカウントであってもrootとしてコードを実行できてしまう可能性があります。
CVE-2026-67401として追跡されているこの欠陥は、サポート対象のすべてのcPanel & WHMリリースに影響を及ぼしており、早急なパッチ適用が求められます。
cPanelが9月8日に公開したセキュリティ勧告によると、悪用の起点はメール関連の権限を持つ認証済みcPanelアカウントです。
同社によれば、攻撃者はこのアクセス権を悪用し、EmailTrackを通じてサーバー上に任意のファイルを作成できるとのことです。その結果、root権限でのコード実行が可能となり、攻撃者はホストを完全に掌握できてしまいます。
この勧告ではSQLインジェクションと説明されているものの、技術的な悪用の詳細、概念実証（PoC）コード、影響を受けるリクエストパラメータ、CVSSスコアは公開されていません。
この点は重要です。公開されている悪用コードが存在しないからといって、リスクが低いと判断すべきではありません。
共有ホスティング環境では、適切なメール権限を持つ顧客レベルのアカウントが侵害されると、テナントの権限からサーバー上で最も強い権限を持つアカウントへの侵入経路となりかねません。
root権限でのコード実行を許してしまえば、侵入者はホスティングされているコンテンツを改ざんしたり、持続的なアクセス手段を仕込んだり、認証情報や設定データにアクセスしたり、メールサービスを操作したり、他のアカウントや接続先システムへ横展開したりすることが可能になります。
cPanelは、この任意ファイル作成という状態が特に深刻だと述べています。ファイル書き込みがサーバー側の実行パスや設定変更と組み合わされることで、最初のアクセスがシステム全体の完全な侵害へとつながりかねないためです。
管理者はこの欠陥を、単なるWebパネルの脆弱性としてではなく、サーバーの完全性に関わる問題として扱うべきです。
サポート対象のcPanel/WHMの全バージョンが影響を受けます。cPanelは、保守対象の各リリース系統に対して修正済みビルドをリリース済みです。バージョン11.110.0.143、11.134.0.55、11.136.0.39、11.138.0.4が該当します。
同社はまた、WP2バージョン11.138.1.9もリリースしています。システムは遅滞なく該当するパッチ適用済みビルド、もしくはそれ以降のリリースへとアップグレードすべきです。
アップデートを行う前に、運用担当者はすべてのcPanel/WHMサーバーを棚卸しし、導入済みのリリースと更新ティアを確認したうえで、メンテナンスウィンドウの設定漏れによって目立たないサーバーが取り残されないようにする必要があります。
アップグレード後は、導入済みのビルド番号を確認し、更新ログを精査したうえで、通常のパネル機能とメール機能が問題なく動作することを確認すべきです。
この脆弱性の悪用には認証とメール関連の権限が必要となるため、各組織はcPanelアカウントの監査も行い、使われていないユーザーを削除し、メール機能に最小権限の原則を適用したうえで、不審なアカウント活動を調査することが望まれます。
確認すべき有用なポイントとしては、機微なWebパスやシステムパスにおける新規作成・変更されたファイル、見覚えのないスケジュールタスク、パネルやWebサーバーの設定への不審な変更、異常な外部接続、承認された変更記録のないroot権限プロセスなどが挙げられます。
今回の公表は、ホスティングセキュリティにおいて繰り返し指摘される懸念を改めて浮き彫りにしています。管理プレーンの弱点によって、たった一つの有効なテナント認証情報がサーバー全体への脅威となりかねないという点です。
迅速なパッチ適用、アクセス管理の徹底、そしてアップデート後の検証こそが、CVE-2026-67401によるリスクを低減するうえでの実践的な優先事項となります。
16,000以上の組織から得られる最新のインテリジェンスで、脅威検出率を58%向上。TIフィードを統合し、貴社のSOCへ
翻訳元: https://cyberpress.org/cpanel-emailtrack-sql-injection-flaw/
