ConfigServer Security & Firewall(CSF)に深刻な脆弱性が見つかり、認証を経ていないリモートの攻撃者が脆弱なサーバー上で任意のコマンドを実行できる可能性があることが分かりました。CVE-2026-65638として追跡されているこの脆弱性は、CSFのバージョン14.00から16.29までに影響し、バージョン16.30以降で修正されています。
問題が確認されたのは、ConfigServer Security & FirewallのMESSENGERサービスです。CSFはLinuxホスティングサーバーやcPanel&WHM環境で広く導入されているファイアウォール管理ソリューションです。
この脆弱なコンポーネントを悪用すれば、リモートの攻撃者は認証を必要とせず、CSFサービスアカウントの権限でコマンドを実行できてしまいます。
悪用に成功したからといって直ちにルート権限を奪われるわけではありませんが、この脆弱性は深刻なリモートコード実行のリスクをもたらします。
この脆弱性を通じて侵入した攻撃者は、対象サーバーの情報を収集したり、設定ファイルを調べたり、アプリケーションデータにアクセスしたり、認証情報を探索したりできます。さらにホスティングされているウェブサイトを標的にしたり、追加のローカル脆弱性や設定不備を突いて権限昇格を試みたりする可能性もあります。
ホスティングプロバイダーやサーバー管理者は、ファイアウォールポリシーの管理やログイン試行の繰り返し失敗の検知、ブルートフォース攻撃のブロック、セキュリティアラートの自動化などにCSFを日常的に利用しています。
そのため、この脆弱性は共用ホスティングやマルチテナント環境において特に重大な意味を持ちます。こうした環境では、たった一台のサーバーが侵害されるだけで、複数のウェブサイトや顧客アカウント、管理サービスが危険にさらされる恐れがあるためです。
脆弱なMESSENGER機能はデフォルトでは無効になっており、潜在的に影響を受けるインストール数は限定的です。ただし、MESSENGERサービスが有効化され、reCAPTCHAのシークレットキーが設定されている場合には悪用が可能になります。
管理者はデフォルト設定に頼りきるのではなく、CSFで保護されているすべてのホストにおいて実際の設定内容を確認する必要があります。特に、設定が手動で変更されていたり、旧来の導入環境から引き継がれていたり、自動化ツールによって適用されていたりする環境では注意が必要です。
cPanelによると、CSFのバージョン14.00から16.29までがすべて影響を受けるとのことです。バージョン16.30以降にはパッチが適用されています。管理者は、通常のパッケージ管理手順やサーバーメンテナンスの運用フローを用いて、直ちにConfigServer Firewallのインストールをアップグレードするよう強く求められています。
CentOS 7、CloudLinux 7、AlmaLinux、CloudLinux 8から10、または対応するUbuntuを実行しているcPanel管理システムでは、管理者は以下のコマンドでパッケージを更新し、アップデートを実行できます。
アップデートを直ちに適用できない組織は、暫定的な緩和策としてMESSENGERサービスを無効化する必要があります。
管理者はSSHまたはWHMターミナル経由でrootユーザーとして対象サーバーにアクセスし、/etc/csf/csf.confにあるCSF設定ファイルを編集できます。サービスを無効化するには、以下の設定を変更してください。
設定を保存した後、管理者は以下のコマンドを使ってCSFとLogin Failure Daemonの両方を再起動する必要があります。
セキュリティチームは、CSFおよびWebサーバーのログを確認し、MESSENGER関連のエンドポイントに対する異常なリクエストがないか調べるとともに、CSFサービスアカウント権限での想定外のプロセス実行や、不正アクセスの兆候がないかも調査する必要があります。
脆弱なサービス自体はデフォルトでは動作していませんが、MESSENGERとreCAPTCHAが有効になっている状態で外部に露出しているシステムについては、パッチ適用とインシデント調査を優先して対応すべきです。
16,000以上の組織から得られる最新のインテリジェンスで、脅威の検知率を58%向上。TIフィードを導入することで、貴社のSOCを強化しましょう
翻訳元: https://cyberpress.org/critical-configserver-security-firewall-flaw/
