CVE の正式な記録の公開前です
セキュリティの情報源の記事に出た番号をもとに載せています。番号や内容が変わることがあります。CVE.org・NVD に記録が公開されたら、内容をそれに置き換えます。
cPanelとWP Toolkitに重大な欠陥、修正版が公開
共用ホスティングで広く使われる管理ソフト cPanel に、PHP2Shell と呼ばれる一連の欠陥と、WP Toolkit の不具合が見つかり、ベンダーが修正を公開したと報じられています。cPanel や WP Toolkit を自社で運用している組織、およびこれらを使うホスティング事業者が影響を受けます。まず自社環境の版を確認し、ベンダーの告知に従って更新してください。
急ぎ度: 早めに
重大度はcriticalとされ修正も出ていますが、実際の攻撃での悪用が確認されたかどうかは現時点で公表されていないためです。
関係があるか
cPanelを使った共用ホスティングサーバーを自社で運用している組織や、WP ToolkitでWordPressサイトを管理している環境が対象です。ホスティングを借りて利用しているだけの場合は、事業者側の対応状況の確認が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| cPanel(PHP2Shell と呼ばれる一連の欠陥) | 影響する版は公表内容から確認できていません。ベンダーの告知で確認してください。 | 修正が公開されたと報じられていますが、直った版番号はここでは確認できていません。 |
| WP Toolkit(不具合1件) | 影響する版は公表内容から確認できていません。ベンダーの告知で確認してください。 | 修正が公開されたと報じられていますが、直った版番号はここでは確認できていません。 |
確かめ方
- 1cPanel & WHMを自社で運用しているか、WP Toolkitを導入しているかを、サーバーの管理者に確認する。
- 2サーバー上でcPanelの版を確認し、ベンダーの告知に記載された修正版と比べる。
- 3WP Toolkitの版はWHMまたはcPanelの管理画面で確認し、同様に告知の修正版と比べる。
- 4レンタルサーバーなどを借りている場合は、事業者のお知らせに今回の修正への対応状況が出ていないかを見る。
何が起きたか
cPanelの開発元が、PHP2Shellと呼ばれる一連の脆弱性と、WP Toolkitの不具合を修正したと報じられています。対象は、1台のサーバーで多数のウェブサイトを動かす共用ホスティングです。このCVEの深刻度はcritical（最も高い区分）とされています。
公表されている内容からは、どの欠陥がどのCVE番号に当たるのか、悪用に認証が要るのか、といった技術的な詳細は確認できません。関連記事の見出しには、QNAPがPHP2Shellと呼ばれる欠陥についてQTSとQuTS heroへの影響を警告したという報道も見られます。複数の製品に関わる名前である可能性がありますが、cPanelの欠陥と同一かどうかは現時点で明らかになっていません。
攻撃の流れ
-
1
到達できる状態
未修正のcPanelやWP Toolkitが動くサーバーに、攻撃者が通信できる状態になっている。
-
2
弱点を突く
修正前の欠陥が悪用される。具体的な方法や条件は公表されていません。
-
3
サーバーへ影響
名前から、サーバー上で意図しない操作が行われるおそれがありますが、実際の被害内容は公表されていません。
-
4
他サイトへ波及
共用環境では、1つの侵害が同じサーバー上の他のサイトに及ぶ可能性があります。
どう悪用されるか
悪用の前提条件（認証の要否、ネットワーク上の位置、利用者の操作の要否）は、現時点で確認できていません。実際の攻撃で悪用されたかどうか、CVSSのスコア、悪用される見込みの指標も、確認できる範囲では公表されていません。KEV（米国の悪用確認済み脆弱性の一覧）への掲載も確認できていないため、期限の設定もありません。
被害の内容も公表されていません。一般論として、ホスティング管理ソフトが侵害されると、サイトの改ざんや情報の漏えい、同じサーバー上の他の利用者への影響が懸念されます。ただし、今回の欠陥でそれが起きると確認されたわけではありません。
今すぐやること
-
1
ベンダーの告知を確認する
cPanelとWP Toolkitそれぞれの公式のセキュリティ告知で、影響する版と修正版を確認します。
-
2
cPanelの版を確かめる
サーバーに管理者としてログインし、現在の版を確認して、告知の修正版と比べます。
/usr/local/cpanel/cpanel -V -
3
修正版へ更新する
対象の版であれば、ベンダーの手順に従ってcPanelとWP Toolkitを更新します。更新前に、バックアップを取得しておきます。
-
4
不審な形跡がないか見直す
更新までの間に見慣れないファイルの追加や設定変更、不審なログインがなかったかを、ログと管理画面で点検します。
-
5
借りている場合は事業者に確認する
共用ホスティングやレンタルサーバーの利用者は、事業者の対応状況と、自分のサイトへの影響の有無を問い合わせます。
背景
cPanelは、ホスティング事業者や社内のウェブサーバーで、サイト、メール、データベース、アカウントを画面から管理するための制御ソフトです。1台のサーバーに多数の利用者が同居する共用ホスティングで広く使われています。管理ソフトは強い権限で動くため、ここに弱点があると影響がサーバー全体に及びやすくなります。
WP Toolkitは、WordPressサイトの更新やセキュリティ設定をまとめて管理する拡張機能です。管理ソフトや管理用ツールの脆弱性は、侵入の足がかりとして狙われやすい種類の問題です。修正が公開された時点で、更新が遅れた環境から順に狙われることがあります。
よくある質問
Q.すでに攻撃に使われているのですか。
Q.レンタルサーバーを借りているだけでも対応が必要ですか。
Q.修正版の版番号はいくつですか。
まだ分かっていないこと
- 影響を受ける版と、修正された版の具体的な番号は確認できていません。
- 各欠陥に対応するCVE番号、悪用の前提条件、CVSSスコアは公表内容から確認できていません。
- 実際の攻撃での悪用の有無と、QNAP製品のPHP2Shellとの関係は明らかになっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
CVE-2026-107663. Related Posts: QNAP Warns PHP2Shell Flaws Hit QTS and QuTS hero, Urges Users to Take NAS Offline Portainer Fixes Two Critical Flaws Letting Standard Users Take Over Docker Hosts Fortinet Urges Fast Upgrades as AI-Found Flaws Hit FortiOS, FortiManager and FortiAnalyzer The post cPanel Patches PHP2Shell Flaws and WP Toolkit Bug Affecting Shared Hosting Servers appeared first on Daily CyberSecurity.
(Security Online: cPanel Patches PHP2Shell Flaws and WP Toolkit Bug Affecting Shared Hosting Servers)
出典: Security Online NVD