cPanel & WHMの認証回避の脆弱性CVE-2026-41940の悪用
- カテゴリ
- 脆弱性の悪用
WebPros Internationalの2026年4月28日のアドバイザリ〔注1〕によると、cPanel & WHMとWP Squaredに認証回避の脆弱性CVE-2026-41940があり、修正版を出した［1］。watchTowrは、KnownHostがゼロデイとしての悪用を確認したと書いた［18］。国内ではJPCERT/CCが約2,000台の稼働を確かめ、国内の組織からSorryランサムウェアの被害の報告を受けた［16］。
脆弱性の内容
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS | v3.1で9.8、v4.0で9.3（いずれもCRITICAL。CVE記録） | ［10］ |
| CWE | CWE-306（重要な機能の認証の欠如） | ［10］ |
| 悪用されたときの影響 | ログインの流れの認証回避により、認証されていない遠隔の攻撃者が管理画面に不正にアクセスできる | ［10］ |
| 悪用の状況（CISA ADPのSSVC） | Exploitation: active、Automatable: yes、Technical Impact: total | ［10］ |
watchTowrとRapid7は、開発元がこの不具合を「session loading and saving」に関わるものと説明したと書いた［18、20］。開発元はアドバイザリで、Sybre Waaijer氏が脆弱性の特定と責任ある報告に協力したと謝意を示した［1］。
watchTowrの解析では、修正は、入力から改行（\r\n）などを除くfilter_sessiondataの呼び出しを、saveSessionの中へ移すものだった［18］。Basic認証の処理では、ヘッダーから得たパスワードの改行がそのままセッションファイルに書かれ、Cookieから暗号化用の値を外すとパスワードが平文のまま書かれる［18］。注入した行は、セッションの読み込みが使うキャッシュに別の処理で昇格させると、最上位の項目として読まれる［18］。認証成功の時刻の項目があるとパスワードの検証が省かれ、認証済みとして扱われる［18］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | CVE-2026-41940の番号が予約された | ［10］ |
| 2026年 | WebPros International | アドバイザリの初版を公開し、緩和策の変更と修正版を書き加えた | ［1］ |
| 2026年 | WebPros International | 必要な対応を改め、検出スクリプトを加えた | ［1］ |
| 2026年 | - | CVE記録が公開された | ［10］ |
| 2026年 | watchTowr | 技術的な解析と、脆弱なホストを見つけるためのDetection Artifact Generatorを公開した | ［18］ |
| 2026年 | カナダサイバーセキュリティセンター | 警報AL26-008を出した | ［13］ |
| 2026年 | CISA | KEVに追加し、対応期限を5月3日とした | ［11］ |
| 2026年 | WebPros International | CentOS 6・CloudLinux 6のv110.0.50向けの更新手順と、11.110系向けのAPIコマンドを加えた | ［1］ |
| 2026年 | WebPros International | 検出スクリプトを一時的に外した後、誤検知に対処した版を加え、11.124系の修正版も加えた | ［1］ |
| 2026年 | Censys | 侵害後にMirai亜種を展開する経路と、ランサムウェアの経路の2つを報告した | ［19］ |
| 2026年 | Ctrl-Alt-Intel | 東南アジアの政府・軍の組織などを狙う攻撃者を検知した | ［25］ |
| 2026年 | シンガポールのサイバーセキュリティ庁 | 警報AL-2026-046を出した | ［14］ |
| 2026年 | WebPros International | 11.94系と11.102系の修正版を加えた | ［1］ |
| 2026年 | JPCERT/CC | Weekly Reportで取り上げ、この脆弱性を悪用した攻撃でランサムウェアに感染する事例の情報を確認しているとした | ［15］ |
対象の製品と版
WebProsはcPanel、Plesk、WHMCSを抱える［27］。watchTowrはcPanelとWHMを、数え方によっては7,000万を超えるドメインを動かすコントロールパネルと説明した［18］。Rapid7は、Shodanの単純な検索で、脆弱でありうるインターネット公開のcPanelが約150万件出るとした［20］。
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| cPanel & WHM（DNSOnlyを含む。11.86〜11.118系） | 11.40より後のすべての版 | 11.86.0.41・11.94.0.28・11.102.0.39・11.110.0.97・11.118.0.63以降 | ［1］ |
| cPanel & WHM（DNSOnlyを含む。11.124〜11.136系） | 11.40より後のすべての版 | 11.124.0.35・11.126.0.54・11.130.0.19・11.132.0.29・11.134.0.20・11.136.0.5以降〔注2〕 | ［1］ |
| WP Squared | 136.1.7より前（シンガポールの警報） | 136.1.7以降 | ［1、14］ |
| CentOS 6・CloudLinux 6のcPanel | v110.0.50 | v110.0.103（直接の更新） | ［1］ |
WebPros Internationalは、これより後のcPanelの版もすべてこの問題を修正済みだとした［1］。更新の対象となるサポート版で動いていないサーバーも影響を受けうるとして、早急な更新を強く勧めた［1］。
悪用の状況
修正の公開より前の悪用
Rapid7は、KnownHostがCVE-2026-41940の実環境での悪用を述べ、早ければ2月23日に標的型のゼロデイ悪用が起きていたとの推測があると書いた［20］。JPCERT/CCの四半期レポートは、2026年2月からゼロデイとして悪用されていたとも報じられたと書き、公開された概念実証コードから悪用は容易と考えられたとした［16］。
CISAはKEVのカタログにこの脆弱性を掲載した［12］。NVDに載ったKEVの項目は、ベンダーの指示に沿った緩和策の適用、クラウドサービスでのBOD 22-01の指針への準拠、緩和策が無い場合の製品の使用の中止を求めている［11］。
カナダサイバーセキュリティセンターは警報AL26-008で、公開時の情報では悪用の可能性が高い（highly probable）として、直ちに対応するよう求めた［13］。悪用されると、管理画面への侵入、ホストされたサイト・データベース・メールアカウントの掌握、サーバー設定の変更、共有ホスティング上の数千の下流のサイトの侵害に至りうるとした［13］。シンガポールのサイバーセキュリティ庁は警報AL-2026-046で、実際に悪用されており、概念実証が公開されていると書いた［14］。
公開後の攻撃の広がり
Censysによると、5月1日の急増で新たに悪性と分類されたホストの約80%がcPanel/WHMを動かしていた［19］。GreyNoiseの分類で悪性とされたホストは約1万9,000増え、同じ期間にcPanelのシステムは1万5,000超増えた［19］。Censysで見えるcPanel/WHMのホストは1,052,657台で、報告の執筆の段階で悪性の活動に加わったと観測されたのは9,595台だった［19］。
Censysは、主張されたMirai亜種の検体にcPanelを攻撃するモジュールは無く、初期侵入の後に展開されたとみられるとした［19］。ファイル名が「.sorry」で終わる公開ディレクトリを晒すホストは8,859台で、そのうち7,135台がcPanelかWHMを動かしていた［19］。「.sorry」の拡張子は、SorryランサムウェアのHidden-Tear系の亜種と結び付けられてきたと書いた［19］。Censysは、事象は進行中で全体像は不明としつつ、cPanel/WHMを狙う組織的なランサムウェア攻撃の様相だとした［19］。
The Hacker Newsは、Shadowserver Foundationのデータでは、CVE-2026-41940で侵害された可能性のある少なくとも4万4,000〔注3〕のIPアドレスが、4月30日にハニーポットへ走査と総当たり攻撃をしたとされると報じた［25］。この数は5月3日には3,540に減った［25］。
SecurityWeekの5月4日の記事では、影響を受けたシステムは米国が最も多く、フランスとオランダが続いた［24］。
The Hacker Newsの5月4日の記事によると、Ctrl-Alt-Intelが検知した攻撃者は、東南アジアの政府・軍の組織と、フィリピン・ラオス・カナダ・南アフリカ・米国のMSPとホスティング事業者を狙った［25］。攻撃者は公開の概念実証コードを使い、主な標的はフィリピン（*.mil.ph、*.ph）とラオス（*.gov.la）の政府・軍のドメインだった［25］。
Help Net Securityは、一部の攻撃で使われたランサムウェアが、ファイルを暗号化して.sorryを付けるGo製のLinux向けの暗号化ツールだと報じた［26］。暗号化と並んでバックアップの消去も報告されていると、同じ記事は伝えた［26］。インドのホスティング事業者HostMyCodeは、Mirai亜種による侵害を報告した［26］。侵害されたサーバーでは、新しい管理者アカウントの作成、セキュリティのログの無効化、永続化のためのファイアウォール規則の変更、暗号資産の採掘ツールとDDoSボットの設置、ほかのホストされたアカウントからの認証情報の収集が行われた［26］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| 攻撃の経路 | セッションファイルの内容（ロックファイルではない） | WebPros International（検出スクリプトの注釈） | ［1］ |
| 暗号化したファイルの拡張子 | .sorry | Censys | ［19］ |
| Mirai亜種の検体名 | nuclear.x86 | Censys | ［19］ |
| 身代金要求文が示す連絡手段 | Tox | Help Net Security | ［26］ |
| 通信 | Miraiの特徴を持つ23/TCP宛てのパケット | JPCERT/CC | ［17］ |
国内の状況
JPCERT/CCの7月16日の四半期レポートでは、国内で稼働するホストの高い割合がホスティング事業者の管理下にあり、参加するホスティング事業者などのコミュニティに対応状況の確認を求めた［16］。被害を報告した組織は、ホスティング事業者のサービスのテナントとして製品を使っていた［16］。事業者にフォレンジック調査への協力を求めたが、サービス契約上の制約で協力を得られず、十分な調査ができなかった［16］。連携する海外の組織から、製品を使う国内の約80台のホストが不審な通信をしているとの情報を受け、関係組織に個別に通知して対処を促した［16］。
JPCERT/CCはTSUBAMEの報告で、Miraiの特徴を持つパケットが4月30日に急増し、その後ゆっくり減ったと書いた［17］。送信元の多くでcPanelの管理画面が確認され、日本を送信元とする通信も増加の前から15倍ほど増えた［17］。JPCERT/CCは、観測からは原因をたどれないとしつつ、この増加はCVE-2026-41940を悪用したMirai／Mirai亜種への感染活動によるものではないかと考えるとした［17］。
修正と回避策
- cPanelの更新スクリプトで、サーバーを表2の版へ直ちに更新する［1］。
- 更新後にcPanelのビルドの版を確かめ、cPanelのサービス（cpsrvd）を再起動する［1］。
- 更新を無効にしたか特定の版に固定したサーバーは自動では更新されないため、手動で優先して更新する［1］。CentOS 7・CloudLinux 7では版を11.110に設定する必要がある［1］。
- 更新できないときは、ファイアウォールで2083・2087・2095・2096番ポートへの受信を遮断してサービスサブドメインを無効にするか、cpsrvdとcpdavdを止める［1］。
開発元は、侵害の痕跡を探し、ファイルシステム上のセッションを確かめる検出スクリプト（ioc_checksessions_files.sh）も配った［1］。スクリプトは痕跡をCRITICAL・WARNING・ATTEMPT・INFOの4段階で示す［1］。CRITICALかWARNINGが出れば、影響を受けたセッションの消去、rootと全WHM利用者のパスワードの強制再設定、/var/log/wtmpとWHMのアクセスログの監査、永続化の仕組み（cron・SSH鍵・バックドア）の確認を求める［1］。
5月4日には、追加の誤検知を除くようスクリプトをさらに改めた［1］。rootの侵害が確かめられたサーバーは、cPanelのアカウントを既知の安全なサーバーへ移すか、OSを再インストールしてバックアップから戻す必要があるとした［1］。
CVE-2026-41940の修正を意図したcPanel 130.0.18への更新の後には、WHMにログインできず、プラグインのエラー（Leika）が出る不具合が起きた［3］。開発元はこの不具合をCPANEL-52973で扱って解決し、11.130.0.19への更新を案内した［3］。サポート終了版のcPanelをこの脆弱性に対応させて更新した後、古いカーネルではcPanelがポートにbindできず起動しない事象も出た［4］。CloudLinux 6系の手順は、開発元が5月7日に改めた［1］。
提供事業者の措置
Namecheap、KnownHost、Hosting.comは告知を出し、InMotion Hostingは告知と続報を掲載した［5、6、7、8、9］。Namecheapが、対応によってcPanelとWHMの画面に一時的にアクセスを制限するおそれがあると顧客に警告したと、The Recordは報じた［23］。
SecurityWeekの4月30日の記事によると、KnownHost、HostPapa、InMotion、Namecheapなどのホスティング事業者は、通知を受けた直後に、修正を安全に適用するためcPanel & WHMのポートへのアクセスを遮断した［21］。
CyberScoopは、Namecheapが修正の前に2083番と2087番のポートへの接続を一時的に遮断したと報じた［22］。
未公表の事項
注
出典
当事者
- ［1］WebPros International L.L.C.『Security: CVE-2026-41940 - cPanel & WHM / WP2 Security Update 04/28/2026』（2026年4月28日公開、2026年8月28日更新）
- ［3］WebPros International L.L.C.『cPanel 130.0.18 update prevents WHM login - plugin error - Leika: plugin not found』（2026年4月30日公開、2026年5月6日更新）
- ［4］WebPros International L.L.C.『cPanel service does not start after upgrade - EOL version of cPanel』（2026年4月30日公開、2026年8月3日更新）
関係組織
- ［5］Namecheap, Inc.『Ongoing critical security vulnerability in cPanel』（公開日不明、保存記録のみ） 保存記録
- ［6］KnownHost, LLC『cPanel Zero-Day Exploit: Network-Wide Protections in Place for cPanel and WHM Logins/Ports』（公開日不明、保存記録のみ） 保存記録
- ［7］InMotion Hosting, Inc.『cPanel & WHM Security Vulnerability』（公開日不明、保存記録のみ） 保存記録
- ［8］InMotion Hosting, Inc.『CVE-2026-41940: Full Technical Details and InMotion's Response』（公開日不明、保存記録のみ） 保存記録
- ［9］Hosting.com『cPanel and Webmail temporarily unavailable』（公開日不明、保存記録のみ） 保存記録
公的機関
- ［10］CVE Program『CVE-2026-41940 WebPros cPanel and WHM Authentication Bypass via Login Flow』（2026年4月29日公開、2026年9月30日更新）
- ［11］National Institute of Standards and Technology『CVE-2026-41940』（2026年4月29日公開、2026年10月26日更新）
- ［12］Cybersecurity and Infrastructure Security Agency『Known Exploited Vulnerabilities Catalog』（公開日不明、保存記録のみ） 保存記録
- ［13］Canadian Centre for Cyber Security『AL26-008 - Vulnerability affecting cPanel and WebHost Manager (WHM) - CVE-2026-41940』（2026年4月29日公開）
- ［14］Cyber Security Agency of Singapore『Active Exploitation of Critical Vulnerability in cPanel, WebHost Manager (WHM) and WordPress Squared (WP2)』（2026年5月4日公開、2026年7月30日更新）
- ［15］一般社団法人JPCERTコーディネーションセンター『JPCERT/CC WEEKLY REPORT 2026-05-13』（2026年5月13日公開）
- ［16］一般社団法人JPCERTコーディネーションセンター『JPCERT/CC Quarterly Report April 1, 2026 to June 30, 2026』（2026年7月16日公開、PDF）
- ［17］一般社団法人JPCERTコーディネーションセンター『TSUBAMEレポート Overflow（2026年4～6月）』（2026年7月30日公開）
調査・観測
- ［18］watchTowr『The Internet Is Falling Down, Falling Down, Falling Down (cPanel & WHM Authentication Bypass CVE-2026-41940)』（2026年4月29日公開）
- ［19］Censys, Inc.『The cPanel Situation Is…』（2026年5月1日公開）
- ［20］Rapid7, Inc.『CVE-2026-41940: cPanel & WHM Authentication Bypass』（2026年4月29日公開、2026年7月1日更新）
報道機関
- ［21］SecurityWeek『Critical cPanel & WHM Vulnerability Exploited as Zero-Day for Months』（2026年4月30日公開）
- ［22］CyberScoop『cPanel's authentication bypass bug is being exploited in the wild, CISA warns』（2026年4月30日公開）
- ［23］Recorded Future News『Federal agencies must patch cPanel bug by Sunday, CISA says』（2026年5月1日公開）
- ［24］SecurityWeek『Over 40,000 Servers Compromised in Ongoing cPanel Exploitation』（2026年5月4日公開）
- ［25］The Hacker News『Critical cPanel Vulnerability Weaponized to Target Government and MSP Networks』（2026年5月4日公開）
- ［26］Help Net Security『Multiple threat actors actively exploit cPanel vulnerability (CVE-2026-41940)』（2026年5月4日公開）
背景資料
- ［27］Oakley Capital Limited『WebPros』（公開日不明、2026年11月7日閲覧）
更新記録
- 2026年5月4日：公開した。
- 2026年5月5日：WebPros Internationalのアドバイザリの5月5日の改訂（出典1）で加わった11.94系と11.102系の修正版を「時系列」と「対象の製品と版」に加えた。
- 2026年5月6日：WebPros Internationalのナレッジ記事の5月6日の更新版（出典3）で示された130.0.18の不具合の解決と11.130.0.19への更新の案内を「修正と回避策」に加えた。
- 2026年5月7日：WebPros Internationalのアドバイザリの5月7日の改訂（出典1）で改められたCloudLinux 6系の手順を「修正と回避策」に加えた。
- 2026年5月11日：WebPros Internationalのアドバイザリの5月11日の改訂（出典1）で改められた節の題に合わせ、「修正と回避策」の手順の並びを改めた。
- 2026年5月13日：JPCERT/CCのWeekly Report（出典15）を「時系列」に加えた。
- 2026年5月22日：WebPros Internationalのアドバイザリの5月22日の更新版（出典1）で修正版の一覧と検出スクリプトの説明を照らし、「対象の製品と版」と「修正と回避策」を改めた。
- 2026年7月1日：Rapid7の解説の7月1日の更新版（出典20）で示された公開前の悪用の推測と公開数の推計を「対象の製品と版」と「悪用の状況」に加えた。
- 2026年7月16日：JPCERT/CCの四半期レポート（出典16）で示された国内の稼働数、被害の報告、個別の通知をリードと「悪用の状況」に加えた。
- 2026年7月30日：シンガポールのサイバーセキュリティ庁の警報の7月30日の更新版（出典14）を「悪用の状況」と注に、JPCERT/CCのTSUBAMEの報告（出典17）を「悪用の状況」と侵害の痕跡の表に加えた。
- 2026年8月3日：WebPros Internationalのナレッジ記事の8月3日の更新版（出典4）で示されたサポート終了版の起動の不具合を「修正と回避策」に加えた。
- 2026年8月11日：CVE記録のCISA ADPの8月11日の更新（出典10）で示されたSSVCの評価を「脆弱性の内容」の表に加えた。
- 2026年8月28日：WebPros Internationalのアドバイザリの8月28日の更新版（出典1）で侵害時の対応を照らし、「修正と回避策」を改めた。
- 2026年9月30日：CVE記録の9月30日の更新版（出典10）で示されたCVSSの値とCWEを「脆弱性の内容」の表に加えた。
- 2026年10月26日：NVDの記録の10月26日の更新版（出典11）で示されたKEVの対応期限と求める措置を「時系列」と「悪用の状況」に加えた。