cPanel & WHMのEmailTrackにSQLインジェクション脆弱性「CVE-2026-67401」、root権限でコード実行のおそれ

cPanelは2026年9月8日、cPanel & WHMのEmailTrack機能にSQLインジェクションの脆弱性「CVE-2026-67401」が存在すると公表しました。

メール関連の権限を持つ認証済みcPanelアカウントから悪用でき、サーバー上に任意のファイルを作成できるとされています。cPanelによると、悪用に成功した場合はrootユーザーとしてコードを実行でき、サーバー全体を制御されるおそれがあります。

影響を受けるのは、cPanel & WHMのサポート対象となっているすべてのバージョンです。cPanelは各リリース系統向けの修正版を公開し、最新版への更新を案内しています。

9月9日時点で、cPanelのアドバイザリにはCVSSスコアやCWE、具体的なSQLインジェクションのパラメータ、PoCは掲載されていません。また、実際の攻撃で悪用されたとの公式情報や、CISAのKnown Exploited Vulnerabilities（KEV）Catalogへの掲載も確認できませんでした。

CVE-2026-67401のサマリー

確認できている内容：

• cPanelは2026年9月8日、CVE-2026-67401を公表しました。
• 脆弱性はcPanel & WHMのEmailTrack機能に存在するSQLインジェクションです。
• 悪用には、メール関連の権限を持つ認証済みcPanelアカウントが必要です。
• 攻撃者は脆弱性を悪用し、サーバー上に任意のファイルを作成できるとされています。
• 悪用に成功すると、rootユーザーとしてコードを実行でき、サーバー全体を制御される可能性があります。
• cPanel & WHMのサポート対象となっているすべてのバージョンが影響を受けます。
• cPanelは複数のサポート系統向けに修正版を公開しています。
• WP2についても修正版11.138.1.9が案内されています。
• 脆弱性はAli Mustafa（rz1027）氏とabed1526氏が責任ある開示を行いました。

9月9日時点で確認できていない内容：

• CVSSスコア
• CWE番号
• 具体的なSQLインジェクションの対象パラメータ
• 公開PoC
• 実攻撃での悪用
• CISA KEV Catalogへの掲載
• 侵害を確認するための専用IOCや検出シグネチャ

項目	内容
CVE	CVE-2026-67401
公表日	2026年9月8日
対象製品	cPanel & WHM、WP2
脆弱性	EmailTrack機能のSQLインジェクション
攻撃条件	メール関連権限を持つ認証済みcPanelアカウント
影響	任意ファイル作成、root権限でのコード実行
影響バージョン	cPanel & WHMの全サポート対象バージョン
CVSS	公表されていません
CWE	公表されていません
PoC	9月9日時点で公式・公開情報から確認できず
実攻撃での悪用	9月9日時点で確認できず
CISA KEV	9月9日時点で掲載を確認できず
対策	修正版またはそれ以降へアップデート

認証済みcPanelアカウントからroot権限のコード実行へ至る脆弱性

CVE-2026-67401は、cPanelのEmailTrack機能に存在するSQLインジェクションの脆弱性です。

cPanelの公式アドバイザリでは、メール関連の権限を持つ認証済みcPanelアカウントの保有者が、EmailTrack機能を通じてサーバー上に任意のファイルを作成できると説明されています。

さらに、悪用に成功した場合はrootユーザーとしてコードを実行でき、攻撃者がサーバー全体を制御できるとしています。

したがって、本脆弱性はインターネットから認証なしで直接悪用できる脆弱性ではありません。攻撃には有効なcPanelアカウントとメール関連の権限が必要です。

一方、共有ホスティングなど複数のcPanelアカウントを同一サーバーで運用する環境では、1つの条件を満たすアカウントからホスト側のroot権限へ影響が拡大する可能性があります。

cPanel & WHMの全サポート対象バージョンが影響

cPanelは、cPanel & WHMの「すべてのサポート対象バージョン」がCVE-2026-67401の影響を受けるとしています。

公式アドバイザリで案内されている修正版は次のとおりです。

製品・リリース系統	修正版
cPanel & WHM 11.110	11.110.0.143
cPanel & WHM 11.134	11.134.0.55
cPanel & WHM 11.136	11.136.0.39
cPanel & WHM 11.138	11.138.0.4
WP2	11.138.1.9

管理者は、単に「自動更新を有効にしている」ことだけでなく、実際に稼働しているビルド番号が修正版以上になっているか確認する必要があります。

cPanelの公式ドキュメントでは、WHMの「Upgrade to Latest Version」から現在のリリースティアで利用可能な最新版へ更新できます。稼働中のバージョンはWHM画面右上、またはcPanelが案内するバージョン確認方法で確認できます。

CVSSとCWEは公表されていない

9月9日時点で、cPanelの公式アドバイザリにはCVE-2026-67401のCVSSスコアは記載されていません。

CyberPressは本件を「critical SQL injection vulnerability」と報じていますが、cPanel自身は公式アドバイザリで重大度やCVSSを示していません。そのため、本稿ではCVSSに基づくCriticalなどの重大度分類は行いません。

SQLインジェクションは一般にCWE-89に分類されますが、CVE-2026-67401についてCWEが公式に割り当てられたことも、確認できた一次情報には記載されていません。

また、cPanelは具体的なリクエストパラメータ、SQL文、任意ファイル作成からrootコード実行へ至る詳細な利用手順を公開していません。

PoC公開と実攻撃での悪用は9月9日時点で確認できず

9月9日時点で、cPanelの公式アドバイザリにPoCは掲載されていません。

公開情報を確認した範囲でも、脆弱性を再現するPoCやエクスプロイトコードの公開は確認できませんでした。

また、cPanelは実際の攻撃でCVE-2026-67401が悪用されたとは公表していません。CISAのKEV Catalogについても、9月9日時点でCVE-2026-67401の掲載を確認できませんでした。

「root権限でコード実行が可能」という影響と、「実際の攻撃で悪用されている」という事実は分けて扱う必要があります。

現時点では前者をcPanelが確認していますが、後者を示す一次情報は確認できていません。

cPanelは最新版へのアップデートを案内

cPanelはCVE-2026-67401への対応として、最新の修正版へアップデートするよう案内しています。

管理対象にcPanel & WHMまたはWP2を含む組織では、次の順で確認できます。

• 管理対象のcPanel & WHMサーバーを一覧化する
• 各サーバーで稼働中のバージョンとリリース系統を確認する
• 修正版以上へ更新されているか確認する
• 自動アップデートが無効になっていないか確認する
• 特定バージョンへの固定などにより更新が止まっていないか確認する
• 更新後に稼働中のビルド番号を再確認する

cPanelのUpdate Preferencesではソフトウェア更新方法を設定できます。2026年に追加されたセキュリティ更新機能では、現行メジャーバージョン向けのセキュリティリリースを通常の更新スケジュールとは独立して適用する仕組みも提供されています。

過去にもcPanel & WHMでは複数の脆弱性が修正されています。2026年5月に公開された任意ファイル読み取りやSQLインジェクションなどについては、以下の記事で整理しています。

• cPanel & WHMのCVE-2026-29205など5件を修正、任意ファイル読み取りとSQLインジェクションに注意

情報システム部門・サーバー管理者が確認したいポイント

CVE-2026-67401は認証済みアカウントを前提とするため、修正版の適用とあわせてcPanelアカウントの管理状況も確認対象になります。

• 全cPanel & WHMサーバーが修正版以上になっているか
• メール関連機能を利用できるcPanelアカウントを把握しているか
• 不要になったcPanelアカウントが残っていないか
• 利用者ごとに必要以上のメール関連権限を付与していないか
• 更新前の期間に不審なアカウント利用や設定変更がなかったか
• 管理対象外の古いcPanelサーバーや検証環境が残っていないか
• 自動アップデートの設定と実際の更新結果を確認できるか

特にホスティング事業者や複数テナントを同一サーバーで管理する環境では、「外部公開されたWHMだけ」を確認するのではなく、各テナントへ発行しているcPanelアカウントとメール関連権限も棚卸し対象に含める必要があります。

現時点では侵害確認用の専用IOCや検出方法はcPanelから公開されていません。更新前のサーバーが存在した場合は、アップデートだけで完了とせず、認証ログ、管理操作履歴、想定外のファイル変更など、取得可能な記録を基に影響の有無を確認します。

出典

• Security: CVE-2026-67401 SQL Injection Vulnerability in cPanel’s EmailTrack Functionality – September 8, 2026 – cPanel
• Upgrade to Latest Version – cPanel & WHM Documentation
• Update Preferences – cPanel & WHM Documentation
• Known Exploited Vulnerabilities Catalog – CISA
• cPanel EmailTrack SQL Injection Flaw Lets Attackers Execute Code as Root – CyberPress