
2026/05/10 2:06
C パネルのブラックウィーク:4 万 4,000 サーバーに対する攻撃後、新たに発見された 3 つの脆弱性が修正されました。
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
2026 年 5 月 8 日、cPanel は CVE-2026-29201、CVE-2026-29202、CVE-2026-29203 の 3 つの新たな脆弱性を対象とした緊急技術セキュリティリリース(TSR)を 2 回目としてリリースしました。これらの中で CVE-2026-29202 と CVE-2026-29203 は CVSS スコア 8.8 を持つ高深刻度です。CVE-2026-29202 は認証済みユーザーに対して create_user API を介して任意の Perl コードの実行を可能にし、CVE-2026-29203 は不安全なシンリンク処理を通じて権限昇格またはサービス拒否(DoS)を可能にします(CVE-2026-29201 は CVSS スコア 4.3 の任意ファイル読み取りです)。これらの問題は、ユーザー作成 API や管理インターフェース内のファイル読み込みメカニズムといったコア機能の弱点から生じています。緊急性は、2026 年 2 月下旬以降、認証されていないリモート攻撃者が全管理アクセスを可能にした CVE-2026-41940(CVSS 9.8)が引き起こした前のランサムウェア事件に由来します。パッチは 2026 年 5 月 7 日の事前開示メールの後に、2026 年 5 月 8 日 12:00 EST にリリースされました。管理者は 12:00 EST 以降に root ユーザーとして
/scripts/upcp を実行する必要があります。ピン止めされたティアの場合、/scripts/upcp --force を使用してください。CloudLinux 6 サーバーでは更新前に追加の構成ステップが必要です:/etc/cpupdate.conf で sed -i "s/CPANEL=.*/CPANEL=cl6110/g" を実行してから TSR を適用します。パッチ適用後、/scripts/restartsrv_cpsrvd で cPanel を再起動し、/usr/local/cpanel/cpanel -V でバージョンを確認してください。2026 年 2 月下旬から 2026 年 4 月 28 日の間にパッチ未適用のままのシステムについては、管理者は 2026 年 2 月 23 日からアクセスログを検査し、任意コード実行、権限昇格、サービス拒否攻撃への露出を評価するために悪意のある .sorry ファイルをスキャンする必要があります。本文
cPanel または WHM でサーバーを運用している方は、本記事を必ずお読みください。
2026 年 5 月 8 日、すなわち CVE-2026-41940 という認証バイパス脆弱性を悪用し、約 4 万 4,000 基の Web ホスティングサーバーが侵入され、ランサムウェアが展開された事件からわずか 10 日後に、cPanel は静かに第 2 の緊急セキュリティパッチを公開しました。今回のパッチは CVE-2026-29201、CVE-2026-29202、CVE-2026-29203 という 3 つの新規脆弱性を対象としています。そのうち 2 つの脆弱性は CVSS スコアが 8.8 とされており、これらは「重大度:高」に分類され、「深刻」というカテゴリーに僅差です。今回の件は、cPanel から 10 日以内に 2 回目となる技術的なセキュリティリリース(TSR)にあたります。
「2 週間不足の間に 2 回の緊急パッチが公開されたこと」は異例であり、かつ「史上最大の cPanel 攻撃から直後に発表されたというタイミング」からは、ランサムウェア事件をきっかけにコード審査が深化し、その過程で新たな問題が発見されたことが明らかになっています。
cPanel の TSR とは何か?
脆弱性の詳細に入る前に、文脈を補足する簡単な説明として:cPanel は、セキュリティパッチの公開準備ができている際に、標準化されたプロセスである「技術的なセキュリティリリース(TSR)」を採用しています。cPanel は事前に登録済みのお客様へ通知を行い、アップデートスケジュールや保守計画を立てるよう促します。CVE の番号は MITRE によって予約されていますが、パッチが公式に公開される直前まで完全な技術詳細は非公開(エンバーゴ)とされます。これは、対策パッチが利用可能になる前に脆弱性が悪用されるのを防ぐためです。
2026 年 5 月 7 日、WebPros 社は登録済みのお客様へ第 2 の TSR 事前開示メールを送信しました——10 日间に 2 回目を占める緊急通知です。パッチ自体は 2026 年 5 月 8 日の米国東部時間正午に公開されました。
3 つの新規脆弱性について
-
CVE-2026-29201 — 任意のファイル読み取り(CVSS 4.3)
- 概要:
という管理系コマンド内で、機能ファイル名の入力検証が不十分であり、結果として「任意のファイルの読み取り」が可能になるという問題です。feature::LOADFEATUREFILE - 実務的な意味: 認証された攻撃者が、機能ファイル名のパラメータを操作することで、本来アクセス権限を持たないサーバー上のファイルを閲覧できてしまいます。これは直接ルート(root)へのアクセスを与えるわけではありませんが、取得される情報(設定ファイル、認証情報、内部パスなど)を用いて、より深刻な次の攻撃を実行する準備を整えることができます。
- 深刻度: 中程度(CVSS 4.3)。他には劣る urgency ですが、現在の脅威環境を考慮すれば即座にパッチを適用する必要があります。
- 概要:
-
CVE-2026-29202 — 任意の Perl コード実行(CVSS 8.8)
- 概要:
という API コール内のプラグインパラメータの入力検証が不十分であり、既に認証されているアカウント所属のシステムユーザーとして「任意の Perl コードの実行」が可能になるという問題です。create_user - 実務的な意味: この 3 つの中で最も危険です。認証されたユーザー(共有サーバー上のどのアカウントでも該当し得ます)は、
API を介して任意の Perl コードを注入できます。cPanel のコンテキスト下で実行される Perl コードには大きなシステムレベルへのアクセス権限を持ちます。したがって、共有ホスティング環境では、1 つのテナントがマシン全体に影響を与えるコードを実行できてしまいます。create_user - 深刻度: 高(CVSS 8.8)。認証が必要ですが、共有ホスティング環境ではそのハードルは低く、どんなアカウントでも十分です。
- 概要:
-
CVE-2026-29203 — 不正なシンボリックリンクによる権限昇格(CVSS 8.8)
- 概要:
を通じて任意のファイルへのアクセス権限を変更してしまう「不審なシンボリックリンク処理」に関する脆弱性であり、結果としてサービス不能(DoS)や、場合によっては権限の昇格を引き起こします。chmod - 実務的な意味: 機密システムファイルを指すシンボリックリンクを作成し、cPanel を経由して
オペレーションをトリガーすることで、攻撃者は本来触れてはいけないファイルの権限を変更できてしまいます。もしシステムファイルがアクセス不能になった場合、それは権限の昇格やサービス不能に繋がります。chmod - 深刻度: 高(CVSS 8.8)。CVE-2026-29202 と組み合わせた場合、これら 2 つの欠陥を連結して利用できます——まずコードを実行してシンボリックリンクを作成し、次に
を通じて権限昇格を実行してより深いアクセスを得ることができます。chmod
- 概要:
背景:cPanel に何が起きたのか?
これらの 3 つのパッチが、個々の CVSS スコアから推測される以上の重要性を持つ理由を理解するためには、直近 10 日间に起きた出来事を振り返る必要があります。2026 年 4 月 28 日、cPanel は CVE-2026-41940 に対する緊急パッチを公開しました。この脆弱性は CVSS スコアが 9.8 の認証バイパスであり、非認証の遠隔攻撃者が cPanel や WHM への管理アクセスを得られるものでした。
この欠陥は「ゼロデイ(Zero-day)」として積極的に悪用されており、悪用試行の日付は 2026 年 2 月下旬までさかのぼります——つまり、対策パッチが利用可能になる約 2 ヶ月前から攻撃者にとって先行期間があったことを意味します。
その結果は直ちに重大な被害をもたらしました。少なくとも 44,000 の cPanel が動作している IP アドレスが、継続的な攻撃によって侵害されました。ハッカーたちはこの欠陥を悪用し、サーバーに侵入して「Sorry」というランサムウェア変種用の Go ベースの Linux エンクリプターを展開しました。
10 日间の窓口に 2 回の緊急技術サポートリリースがあることは、セキュリティチームが認識する「集中的な是正サイクル」を示しています:まず重大なパッチが公開され、関連するコード経路に関するより深い審査が行われ、その過程で以前は発見されていなかった問題や優先度が低かった問題が表面化します。これは高プロファイルの事件が起きた後の異例なことではなく、実際には認証処理やセッション管理コードの加急再検討による予想される結果です。
言い換えると:CVE-2026-41940 の直後に CVE-2026-29201、29202、29203 が見つかったことは「不運」ではありません。それは cPanel が圧力下で自身のコードを審査した結果——そしてさらに多くの問題が見つかった—to に他なりません。今後さらなる開示がある可能性もあります。
パッチ適用の手順(ステップバイステップ)
- 標準的なアップデート: 2026 年 5 月 8 日の米国東部時間正午以降、ルート権限でコマンドラインから
を実行します。これは cPanel の標準のティア機構を通じて最新の TSR を取り込みます。/scripts/upcp - もし自動更新が無効化されている場合、またはピン留めされたティア(Fixed Tier)に属している場合:
を実行してください。/scripts/upcp --force - CloudLinux 6 サーバーの場合:
を実行し、続いてsed -i "s/CPANEL=.*/CPANEL=cl6110/g" /etc/cpupdate.conf
を実行してください。/scripts/upcp
パッチ適用後、cpsrvd を再起動します:
/scripts/restartsrv_cpsrvd
パッチ済みバージョンが動作しているか確認します:
/usr/local/cpanel/cpanel -V
cPanel の公式セキュリティアドバイザリーに記載されているパッチ済みリリースとバージョンが一致するかを確認し、その上でサーバーが保護されたと判断してください。
過去の侵害も確認すべきか?
2026 年 2 月下旬から 4 月 28 日の期間中に未パッチの cPanel を動作させていた場合は、単にパッチを適用するだけでなく、「潜在的に侵害された可能性がある」として調査を行う必要があります。推奨されるフォレンジック手順は以下の通りです:
- 2026 年 2 月 23 日以降のアクセスログを遡って審査——予期せぬ IP アドレスから発せられた異常なセッション認証パターンの有無を確認するため、
と/usr/local/cpanel/logs/access_log
をチェックします。/usr/local/cpanel/logs/login_log - ユーザーホームディレクトリに対して再帰的にスキャンを行い、
拡張子のファイルが存在するか確認します。.sorry ファイルの存在はランサムウェアの展開を確認しており、単なるパッチ適用ではなく、完全なインシデント対応が必要です。.sorry
より広範な傾向
cPanel が現在直面していることは、Web ホスティングセキュリティ全体に影響を与えているより大きなトレンドの一部です。近年において最も著名だった Linux カーネル脆弱性のうちの 3 つ——Copy Fail(CVE-2026-31431)と Dirty Frag(CVE-2026-43284/43500)——は 4 月下旬から 5 月上旬にかけて、互いに 8 日间以内の期間に開示されました。cPanel ランサムウェア事件では 44,000 台を超えるサーバーが露見しました。そして今、最初の緊急パッチの数日後にさらに 3 つの cPanel CVE が登場しました。
このような脆弱性情報の開示の集中は偶然ではありません。AI を活用したセキュリティ研究によって、協調的な開示プロセスが処理できる速度よりも早く脆弱性が発見されるようになっています。攻撃者に脆弱性が知られつつ、実際のプロダクション環境で悪用されるまでの窓は、数週間で数日へと縮小しています。CVE-2026-41940 の場合、パッチが存在する何ヶ月も前に既に悪用が開始されてしまいました。
cPanel サーバーを運用する皆様にとっての運用上の含意は直接的です:自動更新をオンに保ち、パッチの確認を保守チェックリストの一部に組み込み、主要なインシデント発生後にはログレビューを省略できません。
まとめ・チェックリスト
- 5 月 8 日の TSR を適用するために
を実行 🔴 即座に/scripts/upcp - パッチ適用後に cpsrvd を再起動 🔴 即座に
でパッチ済みバージョンを確認 🔴 即座に/usr/local/cpanel/cpanel -V- 2 月 23 日以降のアクセスログをレビュー 🟡 今日中
- ホームディレクトリ内で
ファイルを検索 🟡 今日中.sorry - 自動 cPanel 更新がオフであればオンにする 🟡 今週内
- どのアカウントが異常に
API を利用していないかを確認する 🟡 今週内create_user
情報源
- The Hacker News — cPanel、WHM:3 つの新規脆弱性に対する修正を公開 https://thehackernews.com/2026/05/cpanel-whm-patch-3-new-vulnerabilities.html
- Panelica — cPanel:3 つの新たな CVE を事前開示、10 日间に第 2 の緊急 TSR https://panelica.com/blog/cpanel-cve-2026-29201-29202-29203-may-2026-tsr-advisory
- Panelica — cPanel:30 日間続くセキュリティ嵐 https://panelica.com/blog/cpanel-30-day-security-storm-2026
- BleepingComputer — 批判的とされる cPanel の欠陥が「Sorry」ランサムウェア攻撃で大量に悪用された件 https://www.bleepingcomputer.com/news/security/critrical-cpanel-flaw-mass-exploited-in-sorry-ransomware-attacks/
- BleepingComputer — cPanel、WHM:緊急アップデートで重大な認証バイパス欠陥を修正 https://www.bleepingcomputer.com/news/security/cpanel-whm-emergency-update-fixes-critical-auth-bypass-bug/
- Help Net Security — cPanel ゼロデイがパッチ公開何ヶ月前にも悪用されていた件 https://www.helpnetsecurity.com/2026/04/30/cpanel-zero-day-vulnerability-cve-2026-41940-exploited/
- KnownHost コミュニティフォーラム — CVE-2026-29201、29202、29203 へのパッチスレッド https://www.knownhost.com/forums/threads/cpanel-cve-2026-29201-cve-2026-29202-and-cve-2026-29203-patch-released-5-8-26-noon-est.6603/