cPanel & WHMにクリティカル脆弱性3件、WebProsが修正版を公開
脆弱性の概要
ホスティング管理ツール「cPanel & WHM」に、深刻度がいずれもクリティカルと評価された脆弱性3件が判明しました。開発元のWebPros Internationalは2026年9月29日、修正を含むセキュリティリリースを公開しており、運用者に速やかな更新対応が求められます。
対象は「CVE-2026-93698」「CVE-2026-93697」「CVE-2026-93029」です。特にCVE-2026-93698は「Multilang adminbin」コンポーネントの入力検証不備に起因し、低権限アカウントを起点に悪用された場合、root権限で任意のOSコマンドを実行されるおそれがあるとされています。
残る2件（CVE-2026-93697、CVE-2026-93029）はWHMの画面に関する格納型XSSで、管理者が該当インタフェースを開いた際にスクリプトが実行され、管理者セッション上で不正操作につながる可能性が指摘されています。現時点で、実際の攻撃発生を示す情報は確認されていません。
影響を受けるシステムと深刻度
いずれも「cPanel & WHM」に影響し、開発元はクリティカル（Critical）に分類しています。CVE-2026-93698のCVSS v3.0ベーススコアは9.9で、サーバー上のアカウントやウェブサイト、データベースなど広範な管理対象が制御されるリスクがあります。
共有ホスティングなど複数テナント環境では、1つの権限境界の破綻が他顧客の領域にも波及し得るため、影響が拡大するおそれがあります。XSSの2件も、管理画面を介したセッション悪用により管理権限での操作が行われる可能性がある点が問題です。
同種の脆弱性に対する注意点
管理系ソフトウェアは「限定された管理者しか触らない」ことを理由に更新が後回しになりやすく、結果として攻撃者に狙われる状態が長期化しがちです。まず自社・委託先を含めてcPanel & WHMの利用有無と稼働バージョンを棚卸しし、修正済みリリースへの更新計画を確認してください。
更新まで時間を要する場合は、WHMなど管理インタフェースへのアクセス元制限、管理者ログインや設定変更の監視、更新前後のログ確認を強化することが重要です。
- 優先対応：修正済みセキュリティリリースの適用と最新サポート版への更新
- 暫定策：管理画面のアクセス制限、監査ログ確認、不審操作の検知強化