ホスティング事業者向け請求管理ツール「WHMCS」に深刻な脆弱性

WebPros Internationalがホスティング事業者やクラウドサービス事業者向けに提供している請求管理ソフトウェア「WHMCS」に深刻な脆弱性が判明した。アップデートを提供している。

同社は現地時間2026年9月3日、セキュリティアドバイザリを公開し、影響を受けるバージョンは異なるが、2件の脆弱性について明らかにした。いずれも同社セキュリティプログラムを通じて報告を受けたとしている。

「CVE-2026-67399」は信頼できないデータのデシリアライズに起因する脆弱性。特定条件下において認証を必要とすることなく、サーバ上で任意のコードを実行することが可能となり、同製品のインストール環境や関連データが侵害されるおそれがある。

また「2CheckOut」決済ゲートウェイでは、認可処理の欠如に起因する「CVE-2026-67398」が判明した。認証を必要とすることなく、顧客の氏名、住所、メールアドレス、電話番号など個人情報を取得することが可能だという。

CVE番号を採番したHackerOneでは、「CVE-2026-67399」について共通脆弱性評価システム「CVSSv4.0」におけるベーススコアを「9.3」、重要度を「クリティカル（Critical）」と評価。「CVE-2026-67398」についてはCVSS基本値を「8.2」、重要度を「高（High）」とした。

WebProsは、これら脆弱性を修正した「WHMCS 9.0.8」「同8.13.7」をリリース。利用者にアップデートを呼びかけている。また「CVE-2026-67398」については、「2CheckOut」モジュールを無効化する一時的な回避策を案内している。

（Security NEXT - 2026/09/15 ）ツイート

ホスティング事業者向け請求管理ツール「WHMCS」に深刻な脆弱性

関連リンク

PR

関連記事