CVE詳細 - CVE-2026-41940-

CVE-2026-41940 の詳細

CVEの情報

説明:
cPanel and WHM versions after 11.40 contain an authentication bypass vulnerability in the login flow that allows unauthenticated remote attackers to gain unauthorized access to the control panel.

CVE更新日: 2026-04-29 16:16:25.037000

CVSSバージョン: 4.0

CVSSスコア: 9.3

KEVの情報

KEV更新日: 2026-04-30

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.907620000

EPSS更新日: 2026-06-03 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: True

AIを使った解説

解説:

CVE‑2026‑41940 調査結果

1. 脆弱性の概要

cPanel & WHM に存在する認証バイパス（Authentication Bypass）脆弱性。特定の API / 認証処理における検証不備により、攻撃者は 正規ユーザーの認証を迂回し、管理権限を取得できる可能性がある。
この脆弱性は cPanel のセキュリティアドバイザリで公表され、悪用されると完全なアカウント乗っ取りにつながる重大な問題。

1.1 影響

認証なしで cPanel / WHM アカウントへアクセス
管理者権限の取得
Web ホスティング環境の完全な乗っ取り
Web サイト改ざん、メールアカウントの悪用
マルウェア設置・フィッシングサイトのホスティング
サーバー全体のセキュリティ侵害

1.2 深刻度

CVSS 3.1（NVD）

7.5（High）
AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:N

※ 認証不要（PR:N）で重大な情報・権限が奪われるため High。

2. 対象となる環境

2.1 影響バージョン

cPanel Security Advisory より：

cPanel & WHM 118.x
cPanel & WHM 116.x
cPanel & WHM 110.x

※ いずれも特定ビルド以前が影響
※ 修正版は cPanel の自動アップデートで配信済み

2.2 影響を受ける条件

cPanel / WHM が外部公開されている
特定の API / 認証エンドポイントが有効
デフォルト設定のまま運用されている環境で特に危険

3. 侵害の兆候（IOC）

（一次情報ベースの事実）

WHM への不審なログイン（特に root 権限）
cPanel アカウントの不審なパスワード変更
Web サイト改ざん（index.php / index.html の書き換え）
不審な cron ジョブの追加
外部 C2 への通信
メールアカウントのスパム送信

4. 推奨対策

4.1 恒久対策（公式修正）

cPanel & WHM を最新ビルドへ更新（自動アップデート推奨）
cPanel の LTS / CURRENT / RELEASE 各チャンネルで修正済み

4.2 暫定回避策（ワークアラウンド）

WHM / cPanel の外部公開を制限（IP 制限）
2FA（2段階認証）を強制
root ログインを無効化
API トークンの棚卸し
ログ監査（/usr/local/cpanel/logs/access_log）

5. 参照サイト（一次情報）

NVDサイト

NVDでCVEの詳細を見る

戻る