「Webmin」に認証バイパスなど複数の脆弱性 - 最新版で修正

サーバ管理ツール「Webmin」のセキュリティアップデートが公開された。複数の脆弱性が解消されている。

「Webmin」のHTTPサーバにおいて、細工したHTTPヘッダにより証明書DNを偽装して認証できる脆弱性「CVE-2026-56020」が判明したもの。

SSLクライアント証明書が登録された任意のユーザーになりすまし、リモートから操作を行うことが可能となる。

CVE番号を採番した米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv4.0」におけるベーススコアを「9.2」、重要度を4段階中もっとも高い「クリティカル（Critical）」とした。「CVSSv3.1」では「8.1」、重要度を「高（High）」としている。

あわせて通知メールテンプレートを作成する権限を持つ場合に悪用できるクロスサイトスクリプティング（XSS）の脆弱性「CVE-2026-22678」も確認されている。管理者がブラウザでテンプレートを閲覧した際にスクリプトを実行させることが可能となる。

開発チームでは、現地時間2026年5月11日にリリースした「Webmin 2.641」でこれら脆弱性を修正。アップデートを呼びかけている。

（Security NEXT - 2026/06/19 ）ツイート

「Webmin」に認証バイパスなど複数の脆弱性 - 最新版で修正

関連リンク

PR

関連記事