LiteSpeed cPanel Plugin の権限昇格の脆弱性（CVE-2026-48172）

何が起きた

LiteSpeed の利用者向け cPanel プラグインで、Redis の有効化と無効化の処理に問題があり、権限を引き上げられる弱点が見つかりました。メーカーによると、cPanel の利用者アカウントであれば誰でも、任意の（攻撃者が好きに選べる）スクリプトを root の権限で動かせます。NVD の評価ではネットワーク経由でログイン不要とされていますが、メーカーは cPanel の利用者アカウントでの悪用と説明しています。2026年5月に実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

LiteSpeed の利用者向け cPanel プラグインを使っているサーバーが対象です。メーカーは、プラグインの v2.3 から v2.4.4 の版が危険だとしています。CVE の記録では、v2.3 から 2.4.7 より前の版と、WHM Plugin の 5.3.1.0 より前の版を影響を受けるものとしています。

何をすればいい

LiteSpeed WHM Plugin v5.3.1.0（cPanel プラグイン v2.4.7 を同梱）以降に更新してください。すぐ更新できない場合は、メーカーが示すコマンドで利用者向けプラグインを削除してください。また、ログに cpanel_jsonapi_func=redisAble という記録がないか調べ、あれば記録された接続元を確かめてください。あわせてメーカーの公式の案内を確認してください。

やることチェックリスト

• WHM Plugin v5.3.1.0 以降に更新する
• 更新できなければ利用者向けプラグインを削除する
• ログで redisAble の記録を探し接続元を確かめる

用語メモ

cPanel

レンタルサーバーなどで、Web サイトやメールの設定を画面から行うための管理ツールです。

root

Linux などで、すべての操作ができるいちばん強い管理者の権限です。

Redis

データを一時的に高速で保存しておくためのソフトです。Web サイトの表示を速くするのに使われます。

プラグイン

ソフトに、あとから機能を足すための追加の部品です。