「LiteSpeed cPanel Plugin」に権限昇格の脆弱性 - すでに悪用も

「LiteSpeed Web Server」利用者向けのプラグイン「LiteSpeed cPanel Plugin」にあらたな脆弱性が明らかとなった。5月に判明した脆弱性とは異なる脆弱性で、悪用も確認されている。

シンボリックリンクの処理に起因し、root権限への昇格が可能となる脆弱性「CVE-2026-54420」が明らかとなったもの。FTPやウェブシェルのアクセス権限を持つ場合に悪用が可能で、「CloudLinux」と「CageFS」を利用する共有ホスティングサーバで影響を受けるという。

同プラグインは5月にも「CVE-2026-48172」が明らかとなったが、異なる脆弱性のため注意が必要。

提供元のLiteSpeed Technologiesでは、現地時間2026年5月31日に外部より同脆弱性について報告を受けたとしており、6月1日に緊急のアップデートとなる「同2.4.8」をリリースしていた。

リリース当初はCVE番号が割り当てられておらず、現地時間6月14日に「CVE-2026-54420」が割り当てられたという。

（Security NEXT - 2026/06/16 ）ツイート