nexsight cyber intelligence / signal online wire desk · issue 660
NEXSIGHT CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

脆弱性 / VULNERABILITY / PRIVILEGE ESCALATION

LiteSpeed Enterpriseに権限昇格の脆弱性 — 共有ホスティングサーバーで1契約からroot権限を取得される恐れ、cPanelが6.3.7への更新を強く推奨

cPanelは2026年9月14日、Webサーバー「LiteSpeed Web Server Enterprise」に深刻な権限昇格の脆弱性があるとしてセキュリティアドバイザリを公開した。共有ホスティングサーバーでは、悪意のある低権限の契約者がサーバーのroot権限を取得し、他の契約者のサイトやサーバー自体にアクセス・改変できるおそれがある。影響を受けるのはv6.3.7より前のバージョンで、cPanelは6.3.7以降への更新を強く推奨している。

脆弱性 NEXSIGHT CYBER WIRE 編集部 5–6 min read
攻撃手法
ソフトウェア

要点

  • ホスティング管理ソフトウェアのcPanelは2026年9月14日、WebサーバーLiteSpeed Web Server Enterpriseに深刻な権限昇格の脆弱性があるとしてセキュリティアドバイザリを公開した。v6.3.7より前のバージョンが影響を受ける。
  • 影響が大きいのは共有ホスティングサーバーである。cPanelの説明では、悪意のある低権限の契約者が、そのサーバーのroot権限を取得できるおそれがある。
  • この脆弱性は、CageFS（CloudLinuxが提供する、契約者ごとにファイルシステムの見える範囲を制限する仕組み）を含むアカウント分離の制御を回避できる。攻撃が成功すると、他の契約者のサイトやサーバー自体へのアクセスや改変につながる。
  • cPanelは、影響を受けるすべてのLiteSpeed Enterpriseをv6.3.7以降へ更新することを強く推奨し、更新コマンドを明示している。アドバイザリに作業回避策の記載はない。

cPanelが公表した内容

cPanelは2026年9月14日、ヘルプセンターに「Security: LiteSpeed Enterprise security advisory - September 14, 2026」を公開した。cPanelは、LiteSpeed Web Server Enterpriseに深刻な権限昇格の脆弱性があるとの通知を受けたと説明している。

cPanelが挙げている影響は次のとおりである。

  • 共有ホスティングサーバーでは、悪意のある低権限のWebサイト利用者が、サーバーのroot権限へ昇格できる可能性がある。cPanelは、こうしたサーバーでは多数の契約者のサイトが1台のマシン上で動作すると説明している。
  • 権限昇格に成功した攻撃者は、他の契約者が運営するWebサイトやサーバー自体にアクセスし、改変できるおそれがある。
  • この脆弱性は、想定されているアカウント分離の制御を回避できる。cPanelは回避される仕組みとしてCageFSを名指ししている。CageFSは、ホスティング契約者ごとにファイルシステムの見える範囲を制限し、他の契約者のファイルやサーバーの設定ファイルを見えなくするCloudLinuxのツールである。cPanelによれば、悪意のあるWebサイト利用者は制限された環境から抜け出してroot権限を取得できる可能性がある。

cPanelは、影響を受けるのはLiteSpeed Web Server Enterpriseのv6.3.7より前のバージョンだとしている。

cPanelが示す対応

cPanelがアドバイザリで示している内容は次のとおりである。以下はcPanelが公表した内容である。

  • 影響を受けるすべてのLiteSpeed Enterpriseを、v6.3.7以降へ更新することを強く推奨する。
  • 更新コマンドとして、次の実行例を示している。
# /usr/local/lsws/admin/misc/lsup.sh -f -v 6.3.7

cPanelのアドバイザリには、更新できない場合の代替の作業回避策や、攻撃を受けたかどうかを確認するための指標についての記載はない。また、野外で悪用されたかどうかについても記載がない。

LiteSpeed側が公開している情報

LiteSpeed Technologiesは、リリースログでLSWS 6.3.7を2026年9月11日付として公開している。このリリースの変更点には、次の3件のセキュリティ関連の項目が含まれる。

  • lscgidのリクエスト認証と検証を強化する。
  • 内部リダイレクトURLの検証を強化する。
  • .htaccessで重要な内部用の環境変数を利用できないようにする。

このほか、耐量子暗号の鍵交換の有効化などの新機能と、複数の不具合修正が含まれる。

LiteSpeedのリリースログにもcPanelのアドバイザリにも、このうちどの変更が今回の権限昇格に対応するのかは記載されていない。cPanelのアドバイザリはLiteSpeed Web Server Enterpriseのみを対象としており、オープンソース版のOpenLiteSpeedについては言及していない。

また、LiteSpeedのダウンロードページを2026年9月15日に確認したところ、6.3.7は配布対象として掲載されている一方、「Stable（安定版）」と表示されているのは6.3.6のままだった。同ページには6.4.0 RC 2（リリース候補）も掲載されている。

CVE（共通脆弱性識別子）については、cPanelのアドバイザリに番号の記載がない。2026年9月15日時点で、米国立標準技術研究所（NIST）のNVDでLiteSpeedに関して2026年8月以降に公開されたCVEを検索しても、LiteSpeed Web Server Enterpriseの権限昇格に対応するCVEは見つからない（該当するのはWordPress用LiteSpeed CacheプラグインのCVEのみである）。cPanelのアドバイザリにも深刻度スコアの記載はない。

過去にも同種の権限昇格 — cPanelプラグインの2件はCISAのKEVに掲載

LiteSpeed関連のソフトウェアで契約アカウントからroot権限に昇格できる問題は、今回が初めてではない。

cPanelは2026年5月31日付のアドバイザリで、LiteSpeedのcPanelプラグインに2つの脆弱性の組み合わせがあり、認証済みのcPanel利用者がroot権限へ昇格できたと公表した。この問題は、CloudLinuxとCageFSを稼働させているサーバーでも成立するとされている。cPanelは、LiteSpeed WHMプラグインv5.3.2.0（cPanelユーザー側プラグインv2.4.8）で修正されたと説明し、あわせてcPanelユーザー側プラグインを無効化することを推奨した。

米CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）のKEV（悪用が確認された脆弱性）カタログには、LiteSpeed cPanel Pluginの脆弱性として次の2件が登録されている。

  • CVE-2026-48172（LiteSpeed cPanel Pluginの権限昇格、2026年5月26日追加）
  • CVE-2026-54420（LiteSpeed cPanel PluginのUNIXシンボリックリンク追従、2026年6月15日追加）

共有ホスティングの利用者・運営者への影響

LiteSpeed Technologiesは自社の製品ページで、**LiteSpeed Web ServerのEnterprise版が「共有ホスティング環境に適した版」**だと説明している。cPanelのアドバイザリも、共有ホスティングサーバーでは多数の契約者のサイトが1台のマシン上で動作することを前提に影響を説明している。

共有ホスティングでは1台のサーバーを複数の契約者が共有するため、今回の脆弱性が残ったサーバーでは、1つの契約アカウントの侵害が他の契約者のサイトやサーバー全体に波及しうる点が影響の大きさにつながる。

cPanelは更新以外の回避策を示していないことから、LiteSpeed Enterpriseを導入しているサーバーの管理者は、自組織のサーバーがv6.3.7より前かどうかを確認し、cPanelの推奨に従ってv6.3.7以降へ更新することが求められる。前述のとおり、LiteSpeedのダウンロードページでは安定版の表示が6.3.6のままであるため、cPanelが示す明示的なバージョン指定のコマンドを使って更新する必要がある。

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。