サーバー室はいつもの無関心な唸り声を上げていたが、管理者の鍵穴にデジタルなマスターキーが差し込まれたことには気づいていなかった。ここで話しているのは、インターネットのウェブホスティングの大部分を支える、まさに縁の下の力持ちであるcPanel & WHMだ。そしてどうやら、そこには開いたままの穴があるようだ。
CVE-2026-41940。まるでB級SF映画のタイトルのようではないか？だが、これはフィクションではない。これは深刻な脆弱性で、恐ろしく高いCVSSスコア9.8を誇っている。これは平たく言えばどういうことか？攻撃者はあなたのログインをすり抜け、システムへのアクセス権を奪い、あなたのサーバー、データベース、そして安全だと思っていたウェブサイトすべてを好き勝手に操作できるということだ。
いいか、私はこの業界で長年やってきたから、嘘はすぐに見抜ける。cPanelがこれを「セッションのロードと保存に関する問題」と呼んだ初期の発表は、企業の控えめな表現というより、悪臭を放っている。これは水漏れ程度ではない。配管システム全体が引き剥がされているようなものだ。そして、記録しておきたい人たちのために、影響を受ける製品はcPanel & WHM本体に加え、WP Squaredだ。
破滅の解剖学
では、このデジタルの背後からの裏切りは、どうやって起こるのか？それは、信頼の誤用という古典的なケースで、特にcPanelがセッションファイルをどのように処理するかに起因する。パスワードを入力する前に、cpsrvdサービス――これはcPanelデーモン、知らない人のために言っておく――が新しいセッションファイルを書き込む。セキュリティ企業watchTowr（彼らの皮肉な心に感謝しよう、すでにPoCを公開している）によれば、ここではキャリッジリターン・ラインフィード（CRLF）インジェクションが鍵となる。本質的に、攻撃者は細工されたwhostmgrsessionクッキーを送信できる。予期されるセグメントをいい加減に扱い、通常の暗号化ダンスをスキップすることで、基本的な認証ヘッダーに直接生の文字を注入できるのだ。システムは、その無邪気な信頼から、この不正なデータを何の疑いもなくセッションファイルに書き込む。ポフッ。user=rootのような任意のプロパティが挿入される。そして、セッションの再読み込みを少し促されると、攻撃者は突然管理者帽をかぶっていることになる。
これは、玄関のドアを全開にして「ご自由にお取りください」と書かれた看板を立てているようなものだ。そしてどうやら、すでに数人が「お取り」をしているようで、2026年2月23日、これが公に注目されるずっと前から、ゼロデイ攻撃の噂が流れている。
誰が実際にここで儲けているのか？
これが100万ドルの質問だろう？このような大規模な脆弱性が公開されるたびに、連鎖反応が起きる。まず、明らかにデジタルなよだれを垂らしている攻撃者がいる。不正アクセス、データ盗難、ウェブサイトの改ざん、あるいは侵害されたサーバーをさらなる悪意のある活動に利用できる。次に、watchTowrのようなセキュリティ企業がいる。彼らは自社の腕前を披露し、おそらくより多くのサービスを販売できる。そして、パッチソリューションや脆弱性スキャナーを提供する企業――突然、非常に、非常に人気が出るツール――を忘れてはならない。Shodanで簡単な検索をかけると、パブリックインターネット上に約150万のcPanelインスタンスがひしめき合っていることがわかる。これは、エクスプロイトコードを持つ者にとってはまさにバイキングのごちそうだ。
しかし、平均的なウェブサイト所有者や管理者にとっては、利益はゼロだ。コストは？潜在的にすべてだ。ダウンタイム、データ損失、評判へのダメージ――すべてが積み重なる。必然的な復旧と損害賠償の費用は誰が負担するのか？あなただ。
これは単なるパッチ当てか？脆弱性の長期的なゲーム
技術的な詳細は興味深いが、より大きな絵はどうだろうか？これは単なる歴史の書物に残るCVEではない。それは症状だ。こうした深刻な欠陥の加速するペースは、率直に言って憂慮すべきだ。より洗練されたインジェクション技術と、発見から広範な悪用までの期間の短縮を目にしている。このCVE-2026-41940の出来事は、最も広く展開されているソフトウェアでさえ免れないという厳しい現実を突きつけている。ベンダーがセキュアなコードを提供するプレッシャーは計り知れず、ユーザーが即座にパッチを適用するプレッシャーはさらに大きい。
それは絶え間ない軍拡競争だ。攻撃者は侵入方法を見つけ、ベンダーはパッチを当てるのに奔走し、ユーザーは巻き込まれ、自分たちが次のヘッドラインになる前にアップデートできることを祈っている。本当の問題は、cPanelのようなベンダーが開発ライフサイクルを真剣に見直しているのか、それとも単にセキュリティパッチでいたちごっこをしているのかということだ。その深刻さと活発な悪用を考えると、単なる受動的な対策以上のものがあることを願うばかりだ。
緩和策：読むのをやめて、パッチを当てろ
もしあなたがcPanel & WHMまたはWP Squaredを実行しているなら、あなたはもうカンザスにいない。アドバイスはシンプルで、率直で、緊急だ：すぐに修正されたバージョンにアップグレードしろ。可能であればポートブロックのような回避策は忘れること。それは銃創に絆創膏を貼るようなものだ。パッチ適用こそが唯一の現実的な解決策だ。
影響を受けるバージョンはかなり広範囲で、基本的に11.40以降すべてだ。修正されたバージョンはリストアップされており、異なるリリースラインにまたがっているため、あなたが使用している特定のブランチを確認することが重要だ。
- cPanel & WHM 11.86.0 バージョン 11.86.0.41 より前のもの
- cPanel & WHM 11.110.0 バージョン 11.110.0.97 より前のもの
- cPanel & WHM 11.118.0 バージョン 11.118.0.63 より前のもの
- cPanel & WHM 11.126.0 バージョン 11.126.0.54 より前のもの
- cPanel & WHM 11.130.0 バージョン 11.130.0.19 より前のもの
- cPanel & WHM 11.132.0 バージョン 11.132.0.29 より前のもの
- cPanel & WHM 11.134.0 バージョン 11.134.0.20 より前のもの
- cPanel & WHM 11.136.0 バージョン 11.136.0.5 より前のもの
- WP Squared バージョン 136.1.7 より前のもの
真面目な話、ベンダーのアドバイザリーを確認しろ。あなたのサイト全体が改ざんされた看板になるまで待つような人間になるな。
セキュリティツール業界については、Rapid7によると、Exposure Command、InsightVM、Nexposeの顧客は、2026年4月30日にリリースされた認証済み脆弱性チェックでこれを検出できるという。つまり、あなたがそれらに支払っているなら、少なくとも自動化された情報を得ることができる。
🧬 関連インサイト
よくある質問
CVE-2026-41940は何をするのですか？ CVE-2026-41940は、cPanel & WHMにおける認証バイパス脆弱性であり、認証されていないリモート攻撃者が影響を受けるシステムへの管理者アクセス権を取得することを可能にします。
私のcPanelサーバーは脆弱ですか？ 緩和策のガイダンスに記載されている特定のパッチバージョンより前のバージョンのcPanel & WHMまたはWP Squaredを実行している場合、あなたのサーバーは脆弱である可能性が高いです。活発な悪用が確認されています。
cPanelを実行している場合、どうすればよいですか？ 直ちにcPanel & WHMまたはWP Squaredのインストールを修正されたバージョンにアップデートしてください。遅れることはありません。この脆弱性は活発に悪用されています。
