LiteSpeedのcPanelプラグインの権限昇格の脆弱性の悪用
- カテゴリ
- 脆弱性の悪用
LiteSpeed Technologiesの2026年5月21日の告知によると、同社のcPanel向けユーザー側プラグインv2.3〜v2.4.4に権限昇格の脆弱性CVE-2026-48172があり、活発に悪用されている［1］。CISAは5月26日、この脆弱性をKEVに加えた［5、6］。同社は6月1日、同じプラグインの別の権限昇格の脆弱性CVE-2026-54420も悪用されていると告知した［3］。
脆弱性の内容
Security NEXTは、このプラグインをLiteSpeed Web Serverとホスティング管理ツール「cPanel & WHM」を連携させるためのものと報じた［10］。
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS v4.0の基本値 | 10 | ［5、15］ |
| CVSS v3.1の基本値（NVD） | 9.8 | ［6］ |
| CWE | CWE-266（Incorrect Privilege Assignment） | ［5］ |
| 悪用されたときの影響 | cPanelの利用者（攻撃者や乗っ取られたアカウントを含む）が、lsws.redisAble関数を悪用して任意のスクリプトをrootとして実行できる | ［1］ |
| 問題の所在 | Redisの有効化・無効化の機能の扱いの誤りに関係する | ［5］ |
シンガポールのサイバーセキュリティ庁（CSA）は、悪用に成功すれば影響を受けるサーバーの完全な侵害に至りうるとした［15］。CyCognitoは、攻撃には認証済みのcPanelアカウントが要るものの、共有ホスティングではその条件は低いと評価した［7］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2024年 | LiteSpeed Technologies | cPanel User-End Plugin v2.3（WHMプラグインv5.0を同梱）を出した | ［2］ |
| 2026年 | LiteSpeed Technologies | 最初の問題の通報を受け、cPanelプラグインv2.4.6とWHMプラグインv5.3.0.0〔注2〕を出した | ［1］ |
| 2026年 | cPanel | ユーザー側プラグインのアンインストールのコマンドを配信した | ［1］ |
| 2026年 | LiteSpeed Technologies | CVEを申請した | ［1］ |
| 2026年 | EuroVPS | 顧客向けの告知を初めて掲載した | ［14］ |
| 2026年 | MITRE | CVE記録を公開した | ［5］ |
| 2026年 | LiteSpeed Technologies | セキュリティの点検を終えてv2.4.7とv5.3.1.0を出し、告知を公開した | ［1］ |
| 2026年 | Hostek | 顧客向けの告知を出した | ［4］ |
| 2026年 | CISA | KEVに追加した | ［5、6］ |
| 2026年 | CSA | 警報AL-2026-061を出した | ［15］ |
| 2026年 | LiteSpeed Technologies、cPanel | 別の問題の通報を受け、cPanelがユーザー側プラグインのアンインストールのコマンドを配信した | ［3］ |
| 2026年 | LiteSpeed Technologies | cPanelプラグインとWHMプラグインの修正版を出し、CVEを申請した | ［3］ |
| 2026年 | - | CVE-2026-54420が割り当てられた | ［3］ |
| 2026年 | CISA | CVE-2026-54420をKEVに追加した | ［12］ |
対象の製品と版
悪用の状況
NVDの記録のKEVの項目によると、対応の期限は5月29日〔注3〕だ［6］。求める対応は、開発元の指示による緩和策の適用か、緩和策が無ければ製品の使用の中止である［6］。
CVE記録は説明で、この脆弱性が5月に悪用されたと記す［5］。CISAの項目はSSVCの評価で、Exploitationをactive、Automatableをyes、Technical Impactをtotalとする［5］。CSAの警報は、悪用が報告されていると書いた［15］。
CyCognitoの5月27日の報告では、観測した露出の資産の業種はIndustrialsが20.3%で最も多かった［7］。続いてConsumer Discretionaryが16.9%、Communication Servicesが16.1%だった［7］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| ログに残る要求の文字列 | cpanel_jsonapi_func=redisAble | LiteSpeed Technologies | ［1］ |
| 検索するログのディレクトリ | /var/cpanel/logs、/usr/local/cpanel/logs/ | LiteSpeed Technologies | ［1］ |
LiteSpeed Technologiesは、表3の文字列でログを検索して出力が無ければ、サーバーは影響を受けていないとした［1］。出力があれば一覧のIPアドレスが正当かを調べ、正当でなければ遮断し、被害の範囲はそれらのIPアドレスの操作をシステムログで調べるよう勧めた［1］。EuroVPSは、この確認は特定の既知の痕跡だけを探すもので、侵害の全面的な評価とはみなせないと説明した［14］。
修正と回避策
LiteSpeed Technologiesは、WHMプラグインv5.3.1.0（cPanelプラグインv2.4.7を同梱）以降への更新を強く勧めた［1］。更新できない場合は、ユーザー側プラグインを削除するコマンド /usr/local/lsws/admin/misc/lscmctl cpanelplugin --uninstall を案内した［1］。
同社の5月21日の告知では、最初の報告への対応の後、cPanel/WebProsのチームの協力を得てcPanelとWHMの両プラグインを予防的に点検した［1］。両プラグインの追加の潜在的な攻撃経路を修正し、追加の脆弱性が悪用された報告は無いとした［1］。既知の脆弱性はすべて修正済みで、cPanelプラグインを最新に保っていれば対応は要らないと説明した［1］。
LiteSpeed Technologiesの更新履歴によると、v2.4.5で無効にしたRedisの機能は、v2.4.6で追加のセキュリティの強化とともに戻した［2］。CVE記録は、WHMプラグイン5.2.10とcPanelプラグイン2.4.5以上でも問題の大半を緩和できるとする［5］。
SecurityWeekは、cPanelが夜間の更新で、すべての版のcPanelからLiteSpeedのユーザー側プラグインを削除したと報じた［9］。LiteSpeed Technologiesは告知で、ほかのサーバーへの悪用を防いだcPanelのチームの即時の対応に謝意を示した［1］。CSAは、影響を受ける版の利用者と管理者に、直ちに最新版へ更新するよう勧めた［15］。
ホスティング事業者の告知
Hostekは告知で、自社が管理する共有ホスティングの基盤で緩和の作業を始めたと説明した［4］。影響を受けうるのはcPanel Hosting（共有・VPS）とWordPress Optimized Hosting（共有・VPS）で、共有ホスティングの利用者は対応が要らないとした［4］。LiteSpeed Web Serverを動かしているVPSでは、手動の確認や修正が要りうる［4］。攻撃の手法は公開しないとした［4］。
EuroVPSの5月22日に更新した告知では、管理権限を持ち管理対象の範囲にあるサーバー（LiteSpeedのライセンスをEuroVPSから購入したサーバー）では、同社が更新を適用し、必要な場合は脆弱なユーザー側プラグインを削除している［14］。自らサーバーを管理する顧客と、ライセンスを開発元から直接購入した顧客には、推奨の対応を遅滞なく行うよう求めた［14］。
同じプラグインの別の脆弱性
LiteSpeed Technologiesの6月1日の告知では、2件目の脆弱性は、FTPかウェブシェルのアクセスを持つ利用者が、CloudLinux/CageFSの共有ホスティングサーバーでrootに昇格できるものだ［3］。v2.4.8より前の全版に危険があり、Namecheapのチームが報告した［3］。同社は、WHMプラグインv5.3.2.1（cPanelプラグインv2.4.8を同梱）以降への更新を勧めた［3］。
Security NEXTは、5月のCVE-2026-48172とは異なる脆弱性だと報じた［11］。
SecurityWeekの6月17日の記事によると、CVE-2026-54420は5月から悪用されていた［13］。KEVの対応期限は6月18日だと報じた［13］。
未公表の事項
- 悪用されたサーバーの数
- 攻撃者
- 悪用の開始日
- 悪用の手口の詳細（The Hacker Newsは、LiteSpeed Technologiesが悪用の詳細を明かさなかったと報じた［8］）
- 侵害後の攻撃者の活動
注
出典
当事者
- ［1］LiteSpeed Technologies Inc.『Security Update for LiteSpeed cPanel Plugin』（2026年5月21日公開）
- ［2］LiteSpeed Technologies Inc.『Control Panel Plugins Release Log』（公開日不明、2026年11月4日閲覧）
- ［3］LiteSpeed Technologies Inc.『Security Update for LiteSpeed cPanel Plugin』（2026年6月1日公開、2026年6月15日更新）
関係組織
- ［4］Hostek.com『Security Advisory: CVE-2026-48172 (LiteSpeed Web Server)』（2026年5月21日公開）
- ［14］Euclid Services Ltd.『Security Notice: LiteSpeed User-End cPanel Plugin Privilege-Escalation Vulnerability』（2026年5月20日公開、2026年5月22日更新）
公的機関
- ［5］MITRE Corporation『CVE-2026-48172』（2026年5月21日公開、2026年10月7日更新）
- ［6］National Institute of Standards and Technology『CVE-2026-48172』（2026年5月21日公開、2026年10月7日更新）
- ［15］Cyber Security Agency of Singapore『Critical Vulnerability in LiteSpeed User-End cPanel Plugin』（2026年5月26日公開）
調査・観測
- ［7］CyCognito Inc.『Emerging Threat: (CVE-2026-48172) LiteSpeed cPanel Plugin Privilege Escalation to Root』（2026年5月27日公開）
報道機関
- ［8］The Hacker News『LiteSpeed cPanel Plugin CVE-2026-48172 Exploited to Run Scripts as Root』（2026年5月23日公開）
- ［9］SecurityWeek『CISA Urges Immediate Patching of Exploited LiteSpeed cPanel Plugin Zero-Day』（2026年5月27日公開）
- ［10］株式会社ニュースガイア『「LiteSpeed cPanel Plugin」に脆弱性 - すでに悪用も、侵害有無の確認を』（2026年5月27日公開）
- ［11］株式会社ニュースガイア『「LiteSpeed cPanel Plugin」に権限昇格の脆弱性 - すでに悪用も』（2026年6月16日公開）
- ［12］株式会社ニュースガイア『脆弱性の悪用カタログに2件をあらたに追加 - 米当局』（2026年6月16日公開）
- ［13］SecurityWeek『Joomla, LiteSpeed Vulnerabilities Exploited in Attacks』（2026年6月17日公開）
更新記録
- 2026年5月26日：公開した。
- 2026年5月27日：CyCognitoの報告（出典7）、SecurityWeekの記事（出典9）、Security NEXTの記事（出典10）を加え、「脆弱性の内容」「悪用の状況」「修正と回避策」と注を改めた。
- 2026年6月1日：LiteSpeed Technologiesの2件目の告知（出典3）を加え、リード、「時系列」、「修正と回避策」の小節「同じプラグインの別の脆弱性」を改めた。
- 2026年6月15日：6月15日に更新されたLiteSpeed Technologiesの2件目の告知（出典3）に合わせ、「時系列」を改めた。
- 2026年6月16日：Security NEXTの記事2本（出典11、12）を加え、「時系列」と小節「同じプラグインの別の脆弱性」を改めた。
- 2026年6月17日：SecurityWeekの記事（出典13）を加え、小節「同じプラグインの別の脆弱性」を改めた。
- 2026年10月7日：CVE記録（出典5）とNVDの記録（出典6）の10月7日の更新に合わせ、「脆弱性の内容」「対象の製品と版」「悪用の状況」を改めた。