ConfigServer Security & Firewall(CSF)で最近公表された脆弱性により、認証されていないリモート攻撃者が製品のMESSENGERサービスを通じて任意のコマンドを実行できる可能性があります。
ソフトウェアサプライチェーン
この脆弱性はCVE-2026-65638として追跡されており、CSFバージョン14.00から16.29に影響します。バージョン16.30以降では既に修正済みです。
CSFはLinuxサーバーおよびcPanel/WHM環境で広く使用されており、ファイアウォールルールの管理、侵入検知アラート、ログイン失敗の監視、セキュリティ自動化などに利用されています。
この脆弱性を悪用してもroot権限を奪取できるわけではありませんが、攻撃者はCSFのサービスアカウント権限でコマンドを実行できる可能性があります。この権限があれば、攻撃者は偵察、データアクセス、横方向移動、さらなる権限昇格などの足がかりを得ることができます。
ConfigServer FirewallのRCE脆弱性
この欠陥はCSFのMESSENGERサービスに存在します。これはブロックされたユーザーや訪問者にカスタマイズ可能なメッセージを表示するオプション機能です。攻撃ベクトルが露呈するのは、次の2つの特定の設定条件が満たされている場合のみです。
- MESSENGERサービスが有効になっている
- reCAPTCHAのシークレットが設定されている
どちらの設定もデフォルトでは有効になっていないため、潜在的に影響を受けるサーバーの数は限られます。とはいえ、カスタムブロックページの処理や訪問者向けメッセージングのためにMESSENGERを有効化している管理者は、特にインターネットに公開されているホスティングインフラにおいて、この問題を緊急事態として扱うべきです。
アドバイザリによると、リモート攻撃者は脆弱なサービスを悪用するために認証を必要としません。この点は、共有ホスティングプロバイダー、マネージドサービス環境、複数のcPanelサーバーでCSFを使用している組織にとって、特に重大な意味を持ちます。
影響を受けるバージョンと修正済みバージョン
| 製品 | 脆弱なバージョン | 修正済みバージョン |
|---|---|---|
| ConfigServer Security & Firewall | 14.00–16.29 | 16.30以降 |
管理者は単なる回避策の適用にとどまらず、最新のCSFリリースへのアップグレードを行うべきです。CentOS 7、CloudLinux 7、AlmaLinux、CloudLinux 8/9/10、Ubuntuベースの環境では、ベンダーはパッケージを更新し、標準の更新手順を実行することを推奨しています。
yum clean all
/scripts/update-packages更新後は、インストールされているCSFのバージョンを確認し、自環境でMESSENGER機能が本当に必要かどうかを検討する必要があります。
緩和策
すぐに更新できない組織は、MESSENGERサービスを無効化することでリスクを軽減できます。管理者はSSHまたはWHMターミナル経由で対象サーバーにrootとしてログインし、CSFの設定ファイルを編集してください。
nano /etc/csf/csf.conf次のオプションを設定します。
MESSENGER = 0設定を保存した後、CSFおよびLogin Failure Daemonのサービスを再起動します。
systemctl restart csf lfdセキュリティチームは、インターネットに公開されているサーバーでCSFのインストール状況を監査し、16.30より前のバージョンを実行しているシステムを特定した上で、MESSENGERとreCAPTCHAの設定が有効になっていないかを確認する必要があります。この脆弱性は未認証でのコマンド実行を許してしまうものであるため、露出しているシステムへのパッチ適用は、通常のメンテナンス作業よりも優先すべきです。
ソフトウェアサプライチェーン
マルウェアやフィッシングの発生から24時間以内に、SOCを最新の情報で更新し続けましょう。 ANYRUNを試して、早期検知でインシデントを未然に防ぎましょう。
翻訳元: https://gbhackers.com/cpanel-urges-users-to-patch-configserver-firewall/
