「LiteSpeed cPanel Plugin」に権限昇格の脆弱性 - すでに悪用も

「LiteSpeed Web Server」利用者向けのプラグイン「LiteSpeed cPanel Plugin」にあらたな脆弱性が明らかとなった。5月に判明した脆弱性とは異なる脆弱性で、悪用も確認されている。

シンボリックリンクの処理に起因し、root権限への昇格が可能となる脆弱性「CVE-2026-54420」が明らかとなったもの。FTPやウェブシェルのアクセス権限を持つ場合に悪用が可能で、「CloudLinux」と「CageFS」を利用する共有ホスティングサーバで影響を受けるという。

同プラグインは5月にも「CVE-2026-48172」が明らかとなったが、異なる脆弱性のため注意が必要。

提供元のLiteSpeed Technologiesでは、現地時間2026年5月31日に外部より同脆弱性について報告を受けたとしており、6月1日に緊急のアップデートとなる「同2.4.8」をリリースしていた。

リリース当初はCVE番号が割り当てられておらず、現地時間6月14日に「CVE-2026-54420」が割り当てられたという。

（Security NEXT - 2026/06/16 ） ツイート

PR

関連記事

「OpenAM」に深刻な脆弱性 - アップデートを公開
「SolarWinds WHD」に複数脆弱性 - SAML認証回避のおそれも
「PHP」に複数の脆弱性 - セキュリティリリースを公開
「TrendAI Vision One」に深刻な脆弱性 - 2025年に修正済み
「Ruby on Rails」に深刻な脆弱性「KindaRails2Shell」
「Adobe Campaign Classic」に悪用リスク高い脆弱性 - 早急に更新を
エレコム製無線LAN機器に複数脆弱性 - アップデートを提供
「Unbound」に複数脆弱性 - キャッシュ汚染などに対処
「Chrome」にセキュリティ更新 - 脆弱性370件を修正
「Node.js」のアップデートが公開 - 脆弱性11件を修正