「cPanel」に深刻な脆弱性、悪用も - 修正や侵害有無の確認を

WebPros傘下のcPanelが提供するホスティング管理ツール「cPanel & WHM」に深刻な脆弱性が明らかとなった。すでに悪用が確認されており、アップデートや侵害の兆候がないか確認するよう呼びかけられている。

ログイン処理に不備があり、重要な機能における認証の欠如「CVE-2026-41940」が判明した。細工したリクエストによって、本来のログイン処理を回避し、認証を必要とすることなく管理画面に対するアクセスが可能となる。

「同11.40」以降のすべてのバージョンに影響があり、コンテンツマネジメントシステム「WordPress」向けの管理ツールとして提供されている「WP Squared」も、同脆弱性の影響を受けるという。

セッションファイルに対して不正なトークンを注入するといった攻撃が可能。侵害されるとその後も持続的にアクセスされ、不正操作されるおそれがある。

さらに同脆弱性を利用して認証を回避することで、root権限によるリモートからのコード実行につながるおそれがあり、実証コードも公開されている。

（Security NEXT - 2026/05/01 ）ツイート