概要
共有ホスティングで広く使われる管理パネル「cPanel & WHM」に、CVSSスコア9.4(Critical)の深刻な脆弱性「CVE-2026-58048」が発見された。データベースをリネームする処理においてSQLモードが正しく保持されず、結果としてSQLコマンドがroot権限のコンテキストで実行されてしまう不具合が原因だ。正規のcPanelアカウントを持ち、MySQL/MariaDB機能へのアクセス権を与えられている利用者であれば、通常はデータベース単位に制限されているはずの権限を超えて、データベースサーバーの管理者権限でコマンドを実行できてしまう恐れがある。CISAはこの脆弱性の技術的な影響度を「total(完全)」と評価している一方、攻撃の自動化はできず、あくまでアカウント保有者が能動的に悪用する必要がある性質だとしている。
技術的な詳細
脆弱性の対象は、cPanel & WHMの現行サポート対象バージョンすべてと、関連製品のWP Squaredに及ぶ。修正版としては11.110.0.137、11.118.0.71、11.126.0.78、11.134.0.48、11.136.0.32、およびWP Squaredの138.1.6が公開されている。パッチの適用が完了するまでの暫定的な緩和策として、cPanelユーザーからMySQLの機能アクセス権を一時的に剥奪することが推奨されている。なお今回の同時公開分には、cpsrvdデーモンにおけるHTTPリクエストスマグリングの脆弱性(CVE-2026-58047、CVSS 5.6)も含まれており、こちらは認証情報の漏えいにつながる可能性があるとされる。さらに、Eximのフォワードファイルに関する権限昇格の問題も併せて報告されている。
影響とホスティング事業者への注意点
この種の脆弱性は、単一のサーバー上で複数の顧客が同居する共有ホスティング環境において特にリスクが大きい。悪意あるアカウント保有者が、自身に割り当てられたデータベースの権限を超えて他の顧客のデータベースやサーバー全体の設定にアクセスできてしまう可能性があるためだ。cPanelを利用するホスティング事業者は、速やかに該当バージョンへのアップデートを行うとともに、パッチ適用が困難な場合は暫定策としてMySQL機能へのアクセス制限を検討する必要がある。