cPanel

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、LiteSpeed cPanelのユーザー側プラグインに存在する、現在悪用されている脆弱性（CVE-2026-54420）に対し、米政府機関に対し、サーバーのセキュリティ対策を講じるよう3日間の猶予を与えた。

CVE-2026-48172として追跡されているこの高深刻度の脆弱性は、Namecheapによって報告されたもので、FTPまたはWebシェルへのアクセス権を持つ攻撃者が、CloudLinux/CageFSを実行している共有ホスティングサーバー上でroot権限へ昇格することを可能にする。

この脆弱性は、バージョン2.4.8以前のすべてのユーザーエンドプラグインに影響を及ぼし、「UNIXシンボリックリンクの追跡」という弱点に起因しています。

image

LiteSpeedは6月上旬にこの脆弱性が実際に悪用されていることを確認し、緊急のセキュリティアップデートをリリースするとともに、ユーザーに対し、cPanelユーザーエンドプラグイン（WHMプラグインに同梱）を最新バージョンに更新するよう警告しました。

ユーザーは、以下のコマンドを使用して、自身のサーバーがCVE-2026-48172の脆弱性を標的とした攻撃に対して脆弱であるかどうかを確認することを推奨されます：

grep -rE 'cpanel_jsonapi_func=(generateEcCert|packageUserSize)|cert_action_entry .*geneccert' /usr/local/cpanel/logs/ /var/cpanel/logs/ 2>/dev/null

「このコマンドの実行結果に何らかの出力が表示された場合、サーバー上でこの脆弱性が悪用された可能性があります。 [..] 被害の有無を確認するには、検出されたIPアドレスによる操作の有無についてシステムログを調査してください」とLiteSpeedは述べています。「この脆弱性は現在積極的に悪用されており、バージョン2.4.8以前のすべてのユーザー向けプラグインにリスクをもたらします。」

月曜日、CISA はこの脆弱性を「既知の悪用済み脆弱性カタログ（KEV）」にも追加し、拘束力のある運用指令（BOD）26-04 の要件に基づき、連邦文民行政機関（FCEB）に対し、3 日以内にシステムのセキュリティ対策を講じるよう命じました。

BOD 26-04は先週の水曜日に発令され（以前のBOD 19-02および22-01を廃止）、米連邦機関に対し、悪用リスクに基づいてパッチ適用を優先するよう求めている。

リスク評価の際に考慮すべき主な要素としては、そのセキュリティ上の欠陥がCISAのKEVカタログに含まれているかどうか、資産がオンライン上で一般に公開されているかどうか、大規模な攻撃のために悪用が自動化可能かどうか、そして悪用が成功した場合に攻撃者が標的となったシステムの一部または全部を制御できるようになるかどうかなどが挙げられる。

「この種の脆弱性は、悪意のあるサイバー攻撃者にとって頻繁に利用される攻撃ベクトルであり、連邦政府機関に重大なリスクをもたらす」と、同サイバーセキュリティ機関は昨日警告した。 「クラウドサービスについては、該当するBOD 26-04のガイダンスに従うか、緩和策が利用できない場合は当該製品の使用を中止してください。各資産のインターネットへの露出状況を評価し、BOD 26-04のパッチ適用ガイドラインを確実に遵守するのは、関係者の責任です。」

先月、CISAは連邦機関に対し、別のLiteSpeed cPanelの脆弱性（CVE-2026-48172）に対するパッチ適用を警告した。この脆弱性は、認証されていない攻撃者が悪用し、root権限で任意のスクリプトを実行できるものであった。