cPanelで、パスワードなしで管理画面にアクセスできる脆弱性が発見され、多くのサイトに影響を与えました

概要

* 攻撃者はcPanelとWHM（Webホスティング管理ソフトウェア）の重大脆弱性CVE‑2026‑41940を積極的に利用しています。

* この欠陥により認証画面を回避し、管理パネルへの完全アクセスが可能になり、結果としてサーバー上のすべてのサイト、メール、データベース、および設定にアクセスできます。

* 脆弱性はcPanel/WHMの全サポート対象バージョンに影響します。

* 大手ホスティングプロバイダーは既に更新を適用するか、一時的にパネルへのアクセスをブロックしています。

1. CVE‑2026‑41940とは何ですか？
| パラメータ | 説明 | 目的 |
|---|---|---|
| ソフトウェア | cPanel と WebHost Manager (WHM) – 世界中の数千万サイトで使用されるウェブホスティング管理システム。 | |
| 脆弱性タイプ | 認証回避：パスワード入力なしでパネルにリモートアクセス可能。 | |
| 結果 | サーバー全体の完全制御：サイト、メール、DB、ドメイン設定。 | |

2. プロバイダーの対応
| プロバイダー | 行動 |
|---|---|
| Namecheap | 脆弱性情報を受け取った直後にcPanelへのアクセスをブロックし、悪用防止と更新時間確保。 |
| HostGator | パッチを適用し、「認証回避の重大脆弱性」と呼んだ。 |
| KnownHost | 2月23日以降に公開前から攻撃者が脆弱性を利用したことを報告。約30台のサーバーで不正アクセス試行が確認されたが、実際の侵害は検出されていない。クライアントシステムを一時的にブロックし、更新後に解除。 |
| cPanel | すべてのユーザーに最新パッチの適用を自ら確認するよう推奨（プロバイダーが修正済みであっても）。 |

3. サイバーセキュリティ機関の立場
* Canadian Centre for Cyber Security (CCCS) – ニュースレターで共通ホスティングサーバー上のサイトが侵害される可能性を警告し、大手プロバイダーも含む。
* 「悪用は非常に高い確率」と指摘し、cPanelユーザーとそのプロバイダーに対し不正アクセス防止のため即時対応を要請。

4. 追加情報
cPanel は WP Squared（WordPress 用サイト管理ツール）向けのセキュリティパッチを公開し、同じ脆弱性を閉じた。

結論
CVE‑2026‑41940 の重大脆弱性により cPanel/WHM で認証を回避してサーバー全体を遠隔操作できる。すべてのサポート対象バージョンが影響を受けるため、迅速な更新またはパネルへのアクセス一時停止が重要です。大手プロバイダーは既に対策を講じており、CCCS はクライアントに早急な行動を強く推奨しています。