cPanel & WHMに認証欠如の脆弱性（CVE-2026-41940）— 認証なしで管理パネル乗っ取り、ランサムでの悪用も確認
広く使われるホスティング管理パネル「cPanel & WHM」とWP2に、ログイン処理での認証欠如の脆弱性。認証されていない遠隔の攻撃者が管理パネルに不正アクセスできる。CISAは悪用確認済み(KEV)・ランサムウェアでの悪用ありとして掲載（CVSS 9.8 Critical）。
脆弱性の基本情報
- CVE番号CVE-2026-41940
- CVSS基本値9.8 CRITICAL
- CVSSベクタCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
- 対象（ベンダー／製品）WebPros cPanel & WHM and WP2 (WordPress Squared)
- CWECWE-306
- 悪用状況CISA KEV 掲載（実際の悪用を確認）／ランサムウェアでの悪用も確認
- 是正期限2026-05-03（米連邦民生機関・BOD 22-01）
要点
1cPanel & WHM という管理基盤
CVE-2026-41940は、WebPros cPanel & WHM（WebHost Manager）および WP2 (WordPress Squared) に存在する、重要機能の認証欠如（CWE-306：Missing Authentication for Critical Function）の脆弱性だ。
CISAのKEVカタログに2026年4月30日付で追加され、ランサムウェアでの悪用も確認されている。
2ログインフローの認証バイパス
NVDの説明によれば、ログインフローに認証バイパスがあり、認証されていない遠隔の攻撃者が管理パネル（コントロールパネル）に不正アクセスできる。cPanel & WHMは、Webサーバ上のサイト・メール・データベース・ドメイン等を一元管理する、ホスティング業界で最も広く使われる管理パネルの一つだ。
ここを認証なしで掌握されると、攻撃者はそのサーバ上の多数のWebサイトやデータを操作でき、被害が一気に拡大しうる。
3ランサムウェアでの悪用も確認
さらにCISAはランサムウェアキャンペーンでの悪用も確認しており、優先度は高い。共有ホスティングのように1台のサーバで多数の顧客サイトを収容する構成では、管理パネルの侵害が連鎖的な被害につながる危険がある。
41台の管理パネルが多数の顧客につながる
cPanel & WHM は、Webサーバ上のサイト・メール・データベース・ドメイン等を一元管理する管理パネルです。共有ホスティングの構成では、その1台が多数の顧客を収容します。
- 1管理パネルへ認証なしで到達するログインフローに認証バイパスがある
- 2サーバ上の全サイトに手が届くサイト・メール・データベース・ドメインを一元管理している
- 3多数の顧客へ波及する1台のサーバで多数の顧客サイトを収容する構成では連鎖的な被害になる
さらにCISAはランサムウェアキャンペーンでの悪用も確認しており、優先度は高くなります。管理パネルのインターネット公開範囲の最小化や多要素認証の徹底も有効です。連邦民生機関の是正期限は2026年5月3日と短く設定されています。
なぜ重要か
ホスティングの要となる管理パネルの認証欠如＋ランサム悪用確認。ホスティング事業者やサーバ管理者は、即時の修正適用、管理パネルの公開最小化、多要素認証、バックアップ点検が要点。1台の侵害が多数サイトに波及するリスクを踏まえた対応が要る。
よくある質問（FAQ）
cPanel & WHMとは？
なぜ被害が大きくなりうるのですか？
何をすべきですか？
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- ベンダー／参考アドバイザリ
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。