cPanelのメール追跡機能にSQLインジェクションの脆弱性 — 認証済みアカウントからroot権限でのコード実行のおそれ、CVE-2026-67401（CVSS 9.9）

要点

• ホスティング管理パネル「cPanel & WHM」のEmailTrack（メール追跡）機能に、SQLインジェクションの脆弱性CVE-2026-67401が見つかった。cPanelは2026年9月8日にセキュリティ情報を公開し、米NISTの脆弱性データベースNVDには9月9日に登録された。
• メール機能を利用できる権限を持つcPanelアカウントの利用者が、細工したリクエストを送ることで、サーバ上でroot権限でのリモートコード実行に至るおそれがある。CVSS基本値は9.9（最大10.0）と評価されている。
• NVDの登録情報では、11.134.0.55、11.136.0.39、11.138.0.4、11.138.1.9、および長期サポート版の11.110.0.143より前のバージョンが影響を受けるとされている。

脆弱性の内容

CVE-2026-67401は、cPanelのEmailTrack機能におけるSQLインジェクション（CWE-89）の欠陥だ。EmailTrackは送受信メールの追跡・確認のための機能で、cPanelアカウントの利用者が通常の操作範囲で触れる部分に存在する。

NVDの説明では、この脆弱性によりメール機能を利用できるアカウントがEmailTrackのSQLインジェクションを突いてrootとしてのリモートコード実行を達成できるとされている。CVSSベクトルはCVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:Hで、ネットワーク経由で容易に悪用でき、低い権限の認証情報だけで成立し、利用者の操作も不要なうえ、影響範囲が他の領域（スコープ）に及ぶことを示している。機密性・完全性・可用性のいずれへの影響も大きいと評価されている。

影響を受けるバージョン

NVDに登録された影響バージョンは以下の通りで、各系統の修正版より前が影響を受けるとされている。

• 11.134系列：11.134.0.55より前
• 11.136系列：11.136.0.39より前
• 11.138系列：11.138.0.4および11.138.1.9より前
• 長期サポート（LTS）系列：11.110.0.143より前

cPanel & WHMは世界中のレンタルサーバー事業者やホスティング事業者が採用する管理パネルで、1台のサーバを複数の顧客で分け合う共用サーバーでも広く使われている。今回の脆弱性は低い権限の正規アカウントからroot権限の奪取に至るおそれがあるため、共用サーバーでは1つの利用者アカウントの侵害がサーバ全体や他の利用者に波及しかねない点が懸念される。自社サイトをホスティング事業者のサーバーで運用している組織は、事業者側の対応状況を確認しておきたい。

出典

• cPanel「Security: CVE-2026-67401 SQL Injection Vulnerability in cPanel’s EmailTrack Functionality - September 8, 2026」
  • https://support.cpanel.net/hc/en-us/articles/43187903921559-Security-CVE-2026-67401-SQL-Injection-Vulnerability-in-cPanel-s-EmailTrack-Functionality-September-8-2026
• NIST NVD「CVE-2026-67401」
  • https://nvd.nist.gov/vuln/detail/CVE-2026-67401