cPanel＆WHMにデータベース権限昇格の脆弱性、認証済みユーザーが管理者権限相当の操作が可能に（CVE-2026-58048）|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月07日更新日時: 2026年08月07日

ホスティング管理パネルを開発するWebProsは2026年7月30日、cPanel＆WHMのデータベース管理機能に存在する権限昇格の脆弱性について、公式サポートサイトでセキュリティアドバイザリを公開しました。認証済みのcPanelアカウント保有者が、本来は管理者に限定されているデータベース操作を、管理者権限相当で実行できてしまうというもので、共有ホスティングやマルチテナント環境での影響が懸念されています。

この記事のサマリー

WebProsは2026年7月30日、cPanel＆WHMのデータベース管理機能に存在する権限昇格の脆弱性CVE-2026-58048について、セキュリティアドバイザリを公開しました。
影響を受けるのは、MySQL／MariaDBのデータベース機能へのアクセス権を持つ、認証済みのcPanelアカウント保有者です。
悪用されると、本来はデータベース管理者に限定されている操作を、任意のデータベースコマンドとして実行できてしまいます。
サーバーのOSやデータベースエンジンの設定によっては、データベースの範囲を超えてOSレベルの侵害につながる可能性があるとされています。
この脆弱性は、セキュリティ研究者Vincent55 Yang氏による責任ある開示（HackerOne経由）を受けて修正されました。
cPanel＆WHMの全サポートバージョンが対象で、修正版へのアップデートが呼びかけられています。
ただちにアップデートできない場合の緩和策として、対象ユーザーからMySQL機能を一時的に取り消す方法も案内されています。

整理表

項目	内容
公表日	2026年7月30日
公表元	WebPros（cPanel＆WHM開発元）
CVE番号	CVE-2026-58048
脆弱性の種別	データベース管理機能における権限昇格
影響を受ける前提条件	MySQL／MariaDB機能へのアクセス権を持つ、認証済みcPanelアカウント
影響範囲	データベースの管理者権限相当の操作、環境によってはOSレベルの侵害の可能性
発見者	セキュリティ研究者 Vincent55 Yang氏（HackerOne経由で報告）
対象バージョン	cPanel＆WHMの全サポートバージョン
修正版	11.110.0.137／11.118.0.71／11.126.0.78／11.134.0.48／11.136.0.32／138.1.6（WP2）
暫定的な緩和策	対象ユーザーからMySQL機能を一時的に取り消す

何が起きたか

WebProsによると、cPanel＆WHMのデータベース管理機能には、SQLモードの設定処理に関する不備があり、データベースのリネーム操作時にこれが権限昇格の経路として悪用され得る状態になっていました。悪用の前提条件として、攻撃者はMySQLまたはMariaDBのデータベース機能へのアクセス権を持つ、有効なcPanelアカウントをあらかじめ保有している必要があります。この点で、認証を必要としないリモートコード実行の脆弱性と比べると悪用のハードルはやや高いものの、共有ホスティング、リセラー、マネージドサービス、マルチテナント環境など、正規のcPanelアカウントを持つ第三者が多数存在する環境では、依然として重大な脆弱性です。

条件を満たした攻撃者は、本来データベース管理者に限定されているはずの操作を、任意のデータベースコマンドとして管理者権限相当で実行できてしまいます。WebProsは、サーバーのオペレーティングシステムやデータベースエンジンの設定、有効化されているデータベース機能によっては、データベースの範囲を超えてOSレベルの侵害に至る可能性があるとも警告しています。

この脆弱性は、セキュリティ研究者のVincent55 Yang氏がHackerOne経由で責任ある開示を行ったことを受けて修正されており、WebProsは謝辞のなかでこの点に触れています。

情報システム部門が確認すべき対策ポイント

cPanel＆WHMを自社運用している場合、バージョンを確認し、11.110.0.137、11.118.0.71、11.126.0.78、11.134.0.48、11.136.0.32、またはWP2の138.1.6以降へアップデートしてください。全サポートバージョンが対象となっているため、現在のバージョンにかかわらず確認が必要です。
ホスティング事業者にサーバー運用を委託している場合は、委託先が本脆弱性への対応を完了しているかを確認してください。
ただちにアップデートできない事情がある場合は、暫定的な緩和策として、対象となるcPanelユーザーからMySQL機能を一時的に取り消すことで、既存のデータベースを維持したまま、新規のデータベース追加・削除操作を制限できます。
共有ホスティングやリセラー、マルチテナント環境で複数の顧客・部門にcPanelアカウントを発行している場合、ある1アカウントの権限昇格が他のテナントにまで影響しうる構成になっていないか、あわせて点検する価値があります。
アップデート後は、cPanelのビルドバージョンが実際に反映されているかを確認し、通常の変更管理プロセス（バックアップ取得、互換性確認、更新後の動作確認）に沿って作業を進めることをおすすめします。