米国サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA) は、すべての連邦政府機関に対し、重要なサーバーと Web サイト管理システムに影響を与える重大なセキュリティ脆弱性 CVE-2026-41940 に 5 月 3 日までにパッチを適用するよう命令しました。この脆弱性は、WebPros International が所有する cPanel および WHM 製品に存在します。この Linux ベースの Web サイト ホスティング コントロール パネルは、Web サイトとサーバーの管理に広く使用されています。世界中の何百万ものドメイン名が関連ソリューションに依存して実行されています。
セキュリティ企業Rapid7のインシデント対応チームは、エクスプロイトに成功すると、攻撃者がcPanelをホストするシステム、その構成、データベース、ホストされているWebサイトを完全に制御できる可能性があると述べた。この脆弱性の CVSS リスク スコアは 10 点中 9.8 です。専門家は、ハッカーがこれを利用してサーバーを完全に侵害し、ホストされているデータを盗んだり改ざんしたり、大規模なサービス中断などのより深刻な連鎖反応を引き起こす可能性があると警告しています。
いくつかのサイバーセキュリティ企業は、現在インターネット上に公開されている数千の cPanel インスタンスがこの脆弱性の影響を受ける可能性があると指摘しています。 CISAは木曜日、この脆弱性が悪用されていることを確認した。 cPanel は修正プログラムのリリースに加えて、企業が自社の環境が侵害されているかどうかを検出できるようにするツールも開始しました。
この欠陥は今週、サイバーセキュリティ企業watchTowrの専門家によって初めて明らかにされ、防御側が資産内でリスクにさらされているホストを特定するためのツールもリリースされた。その後、他の機関も、関連する攻撃が今年2月には始まっていたことを示す証拠を公開した。
米国のドメイン名登録会社 Namecheap は今週、この脆弱性に対処するために講じた措置により、cPanel および WHM 管理インターフェイスへのユーザー アクセスが一定期間制限される可能性があることを顧客に通知する通知を発行しました。 WatchTowrの最高経営責任者（CEO）ベンジャミン・ハリス氏は、cPanelの最初のセキュリティ勧告から数時間以内に、ほぼすべての大手ホスティングプロバイダーが自社製品から顧客をブロックするファイアウォール対策を導入したと述べた。
「Hosting.com、Namecheap、KnownHost、HostPapa、InMotion、いずれも非常ブレーキを踏んでいる。代替手段は、顧客ベース全体がライブ攻撃で乗っ取られるのを見守ることだからだ」とハリス氏は語った。同氏は、「インターネットの半分が燃えている」ような気分であり、AIが脆弱性探索でより広く使用されるようになるにつれ、この「新たな常態」がますます頻繁に起こる可能性が高いと付け加えた。