WebPros Internationalは2026年9月29日、ホスティング管理ツール「cPanel & WHM」の脆弱性3件を修正するセキュリティリリースを公開しました。いずれも深刻度は「クリティカル」と評価され、root権限でのコマンド実行や、WHM管理者のセッションを使った操作につながるおそれがあります。
3件の脆弱性が管理サーバーに及ぼす影響
最も深刻な「CVE-2026-93698」は、Multilang adminbinコンポーネントの入力検証不備です。攻撃者がroot権限で任意のOSコマンドを実行し、管理対象のアカウント、ウェブサイト、データベースなどを制御するおそれがあります。攻撃には低い権限を持つアカウントが必要です。
残る2件は、WHMの管理画面に保存型クロスサイトスクリプティング（XSS）がある問題です。XSSは、保存されたスクリプトが画面を開いた人のブラウザーで実行される脆弱性です。「CVE-2026-93697」は「Mass Modify Accounts」画面、「CVE-2026-93029」は「Manage SSL Hosts」画面に影響します。
どちらも、権限のないアカウント利用者が仕込んだスクリプトを、WHM管理者が該当画面を開いた際に実行させるおそれがあります。実行時には管理者の認証済みセッションが使われるため、その管理者に許された操作が行われる可能性があります。
WHM（Web Host Manager）はサーバー単位で複数のcPanelアカウントやサーバー設定を管理するツールで、cPanelは個々のウェブサイト利用者がファイルやメールなどを管理する画面です。 そのためroot権限でのコマンド実行は、サーバー上の複数アカウントやウェブサイト、データベースに影響し得ます。管理者セッションを悪用するXSSも、アカウント設定やSSL関連の管理操作に及ぶ可能性があります。
CVSS 9.9の評価と攻撃条件
CVE-2026-93698のCVSS v3.0ベーススコアは9.9で、Security NEXTは4段階中最も高い「クリティカル」と伝えています。 CVSSは脆弱性の技術的な深刻度を数値化する仕組みで、9.0以上がクリティカルに分類されます。
スコアの算出では、攻撃に必要な権限の水準も評価項目です。今回の脆弱性は低い権限のアカウントを必要とするため、権限が不要な攻撃とは条件が異なりますが、root権限でコマンドを実行される影響の大きさも評価に含まれています。
修正済みバージョン
修正は、cPanel & WHMの各リリース系列で提供されています。対象の修正版は11.110.0.148、11.134.0.61、11.136.0.45、11.138.0.11以降です。WP Squaredは11.138.1.13以降が修正版です。
各系列の修正版より前の対応バージョンが影響を受けます。WebProsは3件の脆弱性に対するセキュリティリリースを公開しており、管理者向けの更新案内では、最低修正版にとどめず利用可能な最新リリースへの更新が推奨されています。
