WebPros cPanel & WHM and WP2 (WordPress Squared) の認証の欠如の脆弱性（CVE-2026-41940）

何が起きた

WebPros の cPanel & WHM（WebHost Manager）と WP2（WordPress Squared）のログイン処理に、本人確認を飛ばされてしまう弱点（認証回避）が見つかりました。ネットワーク経由で、ログインしていない攻撃者がコントロールパネルに不正に入れるおそれがあります。実際に悪用されたことが確認され、CISA の KEV に載っています。ランサムウェア攻撃での悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

cPanel & WHM や WP2 で、レンタルサーバーやウェブサイトを管理している事業者や利用者が対象です。NVD の説明では、cPanel と WHM の 11.40 より後のバージョンが影響を受けます。CVE の記録では、11.40.0.0 から各系列の修正版より前までが対象です。

何をすればいい

cPanel & WHM が、使っている系列の修正版（例: 11.136.0.5、11.134.0.20、11.132.0.29、11.130.0.19、11.126.0.54 など）以降に更新されているか確認してください。WP2 は 11.136.1.7 以降に更新されているか確認してください。不正に入られていないか、コントロールパネルへのログインの記録も点検してください。あわせて WebPros（cPanel）の公式の案内を確認し、示された手順に従って対策してください。

やることチェックリスト

• cPanel & WHMを使っている系列の修正版に更新する
• WP2を11.136.1.7以降に更新する
• コントロールパネルへのログイン記録を点検する

用語メモ

認証回避 用語集で見る

IDやパスワードによる本人確認を、正しい手順を踏まずにすり抜けてしまうことです。

コントロールパネル

サーバーやウェブサイトの設定を、画面から操作して管理するための管理画面です。

ランサムウェア 用語集で見る

データを暗号化するなどして使えなくし、元に戻す代わりに金銭を要求する不正なプログラムです。

KEV 用語集で見る

米国のCISAが公開している、実際に悪用が確認された脆弱性の一覧です。