2026年8月28日、The Hacker Newsは、Webホスティング管理ソフトウェア「cPanel & WHM」に重大な脆弱性CVE-2026-65643が確認されたと報じました。認証済みのcPanel利用者が、parked domainまたはaddon domainを追加できる環境では、サーバー上に任意のファイルを作成し、最終的にroot権限でコードを実行できる可能性があります。cPanelは修正版を公開しており、利用者に速やかなアップデートを求めています。
The Hacker News：Critical cPanel Flaw Could Let One Hosting Customer Take Root Control of a Whole Server
この記事のポイント
影響のあるシステム
- cPanel & WHMのすべてのサポート対象バージョン：cPanel公式はCVE-2026-65643について、全サポート版を影響対象としています。
- parked domainを追加できるcPanelアカウントが存在するサーバー：認証済み利用者がこの機能を利用できることが悪用条件の一つです。
- addon domainを追加できるcPanelアカウントが存在するサーバー：同様に、任意ファイル作成につながる可能性があります。
- 複数顧客を収容する共有ホスティング環境：悪用に成功するとroot権限へ到達し、同じサーバー上の他のアカウント、Webサイト、データベースにも影響が及ぶ可能性があります。
- WP Squared：cPanelの修正版一覧では、WP2向けに11.138.1.7以降が修正版として案内されています。
- サポート終了版のcPanel & WHM：修正を受け取るにはサポート対象バージョンへのアップグレードが必要です。
今回の問題は、インターネットから誰でも認証なしでroot権限を取得できるという内容ではありません。cPanelへ認証済みで、さらにparked domainまたはaddon domainを追加できる権限を持つアカウントが前提となります。ただし、共有ホスティングでは一般利用者の1アカウントからサーバー全体へ影響が拡大する可能性があるため、該当環境では優先度の高い対応が必要です。
推奨される対策
- cPanel & WHMを、利用中のブランチに対応する修正版以降へ速やかに更新してください。
- 自動更新を設定している場合も、実際に修正版が適用されているかバージョンを確認してください。
- WHMの「Upgrade to Latest Version」から最新アップデートを適用してください。
- 必要に応じてroot権限で「/usr/local/cpanel/scripts/upcp –force」を実行し、アップデートを適用してください。
- サポート終了バージョンを利用している場合は、サポート対象バージョンへ移行してください。
- 共有ホスティングを運営している場合は、脆弱な状態だった期間の管理操作や不審なファイル作成について確認してください。
- cPanelアカウントが侵害されていないか、不審なログインや通常と異なるドメイン追加操作がないか確認してください。
- 更新後も、サーバーやWebサイトに不審なファイルや設定変更がないか確認してください。
cPanelが公開した通知では、アップデート以外の暫定的な回避策は案内されていません。また、CVE-2026-65643が過去に悪用されたかどうかを確認する専用の検知方法も示されていません。そのため、対象バージョンを利用していたサーバーでは、まず修正版への更新を優先し、必要に応じてアクセスログや管理操作、ファイル変更などを確認することが重要です。
この記事に出てくる専門用語
- CVE-2026-65643：cPanel & WHMのdomain parkingおよびaddon domainに関係する機能で確認された脆弱性です。条件を満たす認証済みcPanel利用者がサーバー上に任意のファイルを作成し、最終的にroot権限でコードを実行できる可能性があります。
- cPanel：Webサイト、ドメイン、メール、データベースなどをWeb画面から管理するためのホスティング管理ソフトウェアです。レンタルサーバーや共有ホスティングなどでも広く利用されています。
- WHM（WebHost Manager）：cPanelを利用するサーバー全体を管理するための管理画面です。ホスティング事業者やサーバー管理者が、複数のcPanelアカウントやサーバー設定を管理するために使用します。
- Parked Domain：別のドメイン名を既存のWebサイトへ割り当て、同じコンテンツを表示させるための機能です。cPanelでは現在「Aliases」と呼ばれる場合もあります。
- Addon Domain：1つのcPanelアカウントで追加のドメインを管理し、別のWebサイトとして運用するための機能です。
- root：LinuxなどのOSにおける最高権限の管理者アカウントです。root権限を取得されると、原則としてサーバー内のファイルや設定、アカウントなどを広範囲に操作される可能性があります。
- 任意ファイル作成：攻撃者が、本来作成できない場所を含め、サーバー上に任意の内容や名前のファイルを作成できる状態を指します。保存場所や実行環境によっては、より高い権限でのコード実行につながる場合があります。
- 権限昇格：一般ユーザーなどの限定された権限から、管理者やrootのようなより強い権限を取得することです。
1つのcPanelアカウントからroot権限へ到達するおそれ
CVE-2026-65643で特に問題となるのは、最初からサーバー管理者の認証情報を持っている必要がない点です。cPanelによると、認証済みのcPanelアカウント保有者がparked domainまたはaddon domainを追加できる場合、サーバー上に任意のファイルを作成できる可能性があります。さらに、この問題を悪用することでrootユーザーとしてコードを実行できるとされています。
rootはLinux系サーバーにおける最高権限のアカウントです。そのため、一般的なホスティング利用者に与えられる限定的な権限と比べ、操作できる範囲が大きく異なります。cPanel公式は、悪用に成功した場合、サーバー全体だけでなく、そこに存在するすべてのアカウント、Webサイト、データベースを完全に制御される可能性があると説明しています。
ただし、この脆弱性を「認証不要のリモート攻撃」と表現するのは正確ではありません。攻撃には有効なcPanelアカウントへの認証と、対象のドメイン機能を利用できる権限が必要です。一方で、フィッシングや認証情報漏えいなど別の経路から一般ユーザーのcPanelアカウントが侵害された場合、その後の権限拡大に利用される可能性があるため、ホスティング事業者にとっては重大なリスクとなります。
共有ホスティングでは他の顧客にも影響が広がる可能性
共有ホスティングでは、1台の物理サーバーや仮想サーバー上に複数の顧客アカウントやWebサイトが収容されることがあります。通常、それぞれの利用者が操作できる範囲は分離されており、ある顧客が別の顧客のWebサイトやデータベースを自由に操作できないよう権限制御が行われています。
CVE-2026-65643が深刻なのは、この境界を越えてroot権限へ到達する可能性がある点です。cPanel公式は、悪用に成功するとサーバー上の「every account, website, and database」に対して完全な制御を得られると説明しています。つまり、悪意のあるホスティング利用者や、侵害された1つの顧客アカウントを起点として、同じサーバーに収容されている他の顧客へ影響が拡大する可能性があります。
これは特に、複数企業のWebサイトを同一基盤で管理するホスティング事業者や、制作会社、Web運用会社などにとって重要です。1つの顧客サイトだけを確認するのではなく、基盤となるcPanel & WHM自体が修正版へ更新されているかを確認する必要があります。今回の問題では、アプリケーション単位ではなくサーバー単位でリスクを捉えることが重要です。
すべてのサポート版が影響、cPanelは修正版を公開
cPanelはCVE-2026-65643について、「すべてのサポート対象バージョン」のcPanel & WHMが影響を受けるとしています。このため、特定の古いメジャーバージョンだけを利用している企業が対象となる問題ではありません。サポート対象のcPanel & WHMを運用している管理者は、現在インストールされているビルドを確認する必要があります。
修正版として案内されているのは、11.110系では11.110.0.141以降、11.134系では11.134.0.53以降、11.136系では11.136.0.37以降、11.138系では11.138.0.2以降です。WP Squaredについては、11.138.1.7以降が修正版として案内されています。これらより前の該当ビルドを利用している場合は、利用中のブランチに対応する修正版以降へ更新する必要があります。
- 11.110系：11.110.0.141以降
- 11.134系：11.134.0.53以降
- 11.136系：11.136.0.37以降
- 11.138系：11.138.0.2以降
- WP Squared：11.138.1.7以降
元記事では、2026年7月の別のcPanel脆弱性に関する修正版には11.118系と11.126系も含まれていた一方、8月27日のCVE-2026-65643の通知ではこれらのブランチが記載されていないと指摘されています。cPanelは元記事公開時点で11.118系と11.126系のサポート状況を明確にしていないため、該当環境では独自に安全と判断せず、cPanelの公式サポート情報を確認することが適切です。
自動更新環境でも修正版が入っているか確認を
cPanelによると、毎日の自動アップデートが設定されているサーバーには修正版が自動的に配信されます。ただし、自動更新を有効にしていることだけで対応済みと判断するのではなく、実際にインストールされているバージョンを確認することが重要です。アップデートの失敗や設定状況によっては、想定したバージョンになっていない可能性も考えられます。
管理者がすぐに更新する場合、cPanelはWHMから「Home > cPanel > Upgrade to Latest Version」へ移動して最新版を適用する方法を案内しています。また、サーバーへroot権限でログインできる管理者は、コマンドラインから「/usr/local/cpanel/scripts/upcp –force」を実行してアップデートできます。サポート終了版を利用している場合は、そのままでは今回の修正を受け取れないため、まずサポート対象版へのアップグレードが必要です。
共有ホスティングサービスを外部事業者から利用しており、自社でcPanelのサーバー管理権限を持っていない場合は、利用者自身でアップデートできないことがあります。その場合は、ホスティング事業者にCVE-2026-65643への対応状況や、利用サーバーへの修正版適用状況を確認することが現実的な対応となります。
元記事公開時点では実攻撃の確認やCVSSスコアは公表されず
CVE-2026-65643については、脆弱性の影響が大きい一方、公開されている情報にはまだ限定的な部分があります。The Hacker Newsが2026年8月28日に確認した時点では、cPanelからCVSSスコアは公表されておらず、CVE ProgramにもCVE-2026-65643の正式なレコードは公開されていなかったと報告されています。そのため、CVSSの具体的な数値を推測して記載することは避ける必要があります。
また、cPanelは元記事公開時点で、この脆弱性が実際の攻撃で悪用されたかどうかを明らかにしていません。The Hacker Newsが確認した2026年8月27日版のCISA Known Exploited Vulnerabilities（KEV）カタログにも、CVE-2026-65643は掲載されていませんでした。したがって、「すでに大規模な攻撃が行われている」「ランサムウェアで悪用されている」といった断定は、現時点で公開されている情報からはできません。
一方、実攻撃が確認されていないことは、更新を先送りしてよい理由にはなりません。cPanel自身がroot権限でのコード実行とサーバー全体の制御につながる可能性を明示し、全サポート版に対して修正版を提供しています。脆弱性の悪用が公に確認される前に修正することが、被害を防ぐうえで重要です。
更新だけでなく、脆弱だった期間の確認も重要
cPanelがCVE-2026-65643について案内している直接的な対応は、修正版へのアップデートです。元記事によると、cPanelの顧客向け通知には暫定的な回避策が示されておらず、サーバーがすでに侵害されたかどうかを確認する専用の手順も提示されていません。このため、対象サーバーではまずアップデートを最優先で実施する必要があります。
ただし、パッチの適用によって今後の脆弱性悪用を防げたとしても、それ以前にサーバーで不審な操作が行われていなかったことを自動的に証明できるわけではありません。特に共有ホスティング環境では、cPanelアカウントの不審なログイン、通常と異なるparked domainやaddon domainの追加、意図しないファイルの作成、管理権限での不審な操作などがないか確認することが考えられます。
今回の脆弱性についてcPanelから特定のIOCや検知コマンドが公開されているわけではないため、特定のログだけを確認して「侵害なし」と判断することは避けた方がよいでしょう。重要なWebサイトや顧客情報を収容しているサーバーで不審な挙動が確認された場合は、Webサーバーログや認証履歴、ファイル変更、管理操作などを総合的に調査し、必要に応じてインシデント対応を進めることが重要です。
参考文献・記事一覧
- The Hacker News「Critical cPanel Flaw Could Let One Hosting Customer Take Root Control of a Whole Server」
- cPanel「Security: CVE-2026-65643 Vulnerability in cPanel’s Domain Parking Functionality – August 27, 2026」
- cPanel「How do I update cPanel/WHM?」
- CISA「Known Exploited Vulnerabilities Catalog」
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
