最近の脆弱性 › CVE-2026-41940

WebPros cPanel & WHM and WP2 (WordPress Squared) の認証の欠如の脆弱性（CVE-2026-41940）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2026-41940
製品	WebPros cPanel & WHM and WP2 (WordPress Squared)
深刻度（CVSS）	9.8 緊急CVSS v3.1 NVD に登録された、他の機関（開発元など）による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2026-04-30
米国政府機関の対応期限	2026-05-03
ランサムウェアでの悪用	悪用が確認されている
弱点の種類（CWE）	CWE-306

何が起きた

WebPros の cPanel & WHM（WebHost Manager）と WP2（WordPress Squared）のログイン処理に、本人確認を飛ばされてしまう弱点（認証回避）が見つかりました。ネットワーク経由で、ログインしていない攻撃者がコントロールパネルに不正に入れるおそれがあります。実際に悪用されたことが確認され、CISA の KEV に載っています。ランサムウェア攻撃での悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

cPanel & WHM や WP2 で、レンタルサーバーやウェブサイトを管理している事業者や利用者が対象です。NVD の説明では、cPanel と WHM の 11.40 より後のバージョンが影響を受けます。CVE の記録では、11.40.0.0 から各系列の修正版より前までが対象です。

何をすればいい

cPanel & WHM が、使っている系列の修正版（例: 11.136.0.5、11.134.0.20、11.132.0.29、11.130.0.19、11.126.0.54 など）以降に更新されているか確認してください。WP2 は 11.136.1.7 以降に更新されているか確認してください。不正に入られていないか、コントロールパネルへのログインの記録も点検してください。あわせて WebPros（cPanel）の公式の案内を確認し、示された手順に従って対策してください。

やることチェックリスト

cPanel & WHMを使っている系列の修正版に更新する
WP2を11.136.1.7以降に更新する
コントロールパネルへのログイン記録を点検する

用語メモ

認証回避: IDやパスワードによる本人確認を、正しい手順を踏まずにすり抜けてしまうことです。
コントロールパネル: サーバーやウェブサイトの設定を、画面から操作して管理するための管理画面です。
ランサムウェア: データを暗号化するなどして使えなくし、元に戻す代わりに金銭を要求する不正なプログラムです。
KEV: 米国のCISAが公開している、実際に悪用が確認された脆弱性の一覧です。

元データ（英語・CISA KEV より）

WebPros cPanel & WHM and WP2 (WordPress Squared) Missing Authentication for Critical Function Vulnerability

概要

WebPros cPanel & WHM (WebHost Manager) and WP2 (WordPress Squared) contain an authentication bypass vulnerability in the login flow that allows unauthenticated remote attackers to gain unauthorized access to the control panel.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.