nexsight cyber intelligence / signal online wire desk · issue 658
NEXSIGHT CYBER WIRE Cybersecurity News & Intelligence
MONITOR / DECODE / DEFEND 脅威を、意思決定につなげる
注目

脆弱性 / VULNERABILITIES / WHMCS / UNAUTHENTICATED RCE

ホスティング事業者向け請求管理ソフト「WHMCS」に認証不要の脆弱性2件 — WebProsが修正版9.0.8と8.13.7を公開、1件はサーバ上の任意コード実行

WebPros Internationalは2026年9月3日、ホスティング事業者やクラウド事業者が請求・顧客管理に使うソフトウェア「WHMCS」の脆弱性2件を公表した。1件は細工したデータの送信により認証なしでサーバ上の任意コードを実行される問題（CVE-2026-67399、CVSS 4.0で9.3のCritical）、もう1件は決済モジュール「2CheckOut」を通じて顧客の氏名や住所、メールアドレス、電話番号を取得される問題（CVE-2026-67398、同8.2のHigh）である。WebProsは両方を修正したWHMCS 9.0.8と8.13.7を公開し、直ちに更新するよう求めている。

脆弱性 NEXSIGHT CYBER WIRE 編集部 5–7 min read
攻撃手法
ソフトウェア

要点

  • WebPros Internationalは2026年9月3日、WHMCSの脆弱性2件を公表した。WHMCSは、ホスティング事業者やクラウドサービス事業者が契約・請求・顧客管理のために自社のサーバへ導入して使うソフトウェアである。
  • 1件目はCVE-2026-67399。適切な制限のないなりすました細工データの送信が原因で、特定の条件下では認証されていない攻撃者がWHMCSのサーバ上で任意のコードを実行できる。CVSS 4.0の基本値は9.3（Critical）で、成功するとインストール環境とそのデータ全体が侵害されるおそれがある。
  • 2件目はCVE-2026-67398。決済モジュール「2CheckOut」の認可処理の欠如が原因で、認証されていない攻撃者が顧客の氏名、住所、市区町村、州、郵便番号、国、メールアドレス、電話番号を取得できる。CVSS 4.0の基本値は8.2（High）。
  • WebProsは両方を修正するWHMCS 9.0.8と8.13.7を公開し、直ちに更新するよう求めている。いずれのアドバイザリにも、これらが実際に悪用されたとの記載はない。

WebProsが公表した2件の脆弱性

WebPros Internationalは2026年9月3日、WHMCSのセキュリティアドバイザリを2件公開した。同社は2件とも同社のセキュリティプログラムを通じた報告を受けて対応したと説明しており、CVE-2026-67398については報告者（boomerang）への謝辞を記載している。

WHMCSは、ホスティング事業者やクラウドサービス事業者が、顧客の契約や請求、サポート対応をまとめて管理するために導入するソフトウェアである。利用者が自社のサーバに導入して運用する形態が一般的で、その場合は利用者自身がバージョン管理と更新を行う責任を持つ。

脆弱性の深刻度は、CVE番号を採番したHackerOneがCVSS 4.0で評価しており、NVDにもその評価が登録されている。

CVE-2026-67399 — 認証なしでサーバ上の任意コード実行

WebProsの説明によると、CVE-2026-67399は「適切な制限のない、なりすまされたペイロードの送信」に関する問題である。特定の条件下では、攻撃者はこの送信を利用してサーバ上でリモートコード実行に至ることができる。

同社が示した影響は明確である。認証されていない利用者がこの脆弱性を悪用すると、WHMCSのホスト上で任意のコードを実行でき、インストール環境とそのデータ全体が侵害される。つまり、ログイン情報を持たない攻撃者が、顧客情報や請求データを含むシステム全体を掌握し得る。

NVDはCVE-2026-67399を「信頼できないデータのデシリアライズ（安全でない形式のデータを読み込んでしまう問題）」として登録しており、「WHMCS 9.0.0から9.0.8未満、および8.0.0から8.13.7未満で、遠隔の攻撃者が任意のコードを実行できる」と説明している。NVDへの登録日は2026年9月14日である。

WebProsのアドバイザリは、この脆弱性について「現在対処中」と記載し、修正版の公開をもって対応とした。野外での悪用を示す記載はない。

CVE-2026-67398 — 2CheckOutモジュールから顧客情報を取得

CVE-2026-67398は、WHMCSの2CheckOut決済ゲートウェイモジュールに関する脆弱性である。WebProsは「認可処理の欠如」が原因だと説明している。

影響について、WebProsは「認証されていない利用者が、顧客の個人情報（PII）を取得できる」としている。取得され得る情報として、顧客の氏名、住所、市区町村、州、郵便番号、国、メールアドレス、電話番号が具体的に挙げられている。

NVDはこの脆弱性を「2CheckOut決済ゲートウェイのエンドポイントを通じて、認証されていない利用者が特定の条件下でWHMCSの顧客データを取得できる」と説明しており、影響範囲として「8.13.0から8.13.7未満、9.0.0から9.0.8未満、およびサポート終了版を含む4.5.0以降のすべてのバージョン」を挙げている。NVDへの登録日は2026年9月4日である。

こちらもWebProsのアドバイザリに、実際の悪用を示す記載はない。

影響を受けるバージョンと修正版

WebProsが示した影響範囲と修正版は次のとおりである。両方の脆弱性で影響範囲と修正版は同じである。

  • 影響を受けるバージョン：WHMCS 9.0.8より前のすべての9.x、および 8.13.7より前のすべての8.x
  • 修正版：WHMCS 9.0.8 と WHMCS 8.13.7

CVE-2026-67398については、影響範囲がさらに広い。WebProsは「サポートされているバージョンにのみ修正が提供される」と明記しており、WHMCS 4.5.0以降を使っている場合は、WHMCS 9.0.8または8.13.7へアップグレードする必要があるとしている。修正は、修正版のリリースをもって提供された（いずれも修正済みである）。

WebProsが示す対応

WebProsがアドバイザリで示している対応は次のとおりである。ここでは同社が公表した内容だけを記載する。

  • 両方の脆弱性について：修正版のWHMCS 9.0.8または8.13.7へ直ちに更新する。同社は「Update immediately（直ちに更新を）」と呼びかけている。
  • CVE-2026-67398の一時的な回避策：すぐに更新できない場合、WebProsは2CheckOutモジュールを無効化する方法を案内している。手順は、管理画面で「Configuration > System Settings > Payment Gateways」を開き、2CheckOut決済ゲートウェイモジュールの「Deactivate」を選ぶというものである。無効化したうえで別の決済ゲートウェイを選択すると、サービスや請求書、取引、支払い方法が自動的に新しいゲートウェイへ割り当てられる。
  • CVE-2026-67399について：WebProsは回避策を案内しておらず、修正版への更新のみを示している。

自組織でWHMCSを運用している場合に確認したいこと

WHMCSはサーバへ導入して使うソフトウェアであるため、利用している組織が自分でバージョンを確認し、更新する必要がある。顧客情報や請求データを含むインストール環境とそのデータ全体が侵害され得るとする内容であり、影響の大きさを踏まえた対応が求められる。

確認の手順としては、まず管理画面に表示される自組織のWHMCSのバージョンが9.0.8未満または8.13.7未満ではないかを確かめる。該当する場合は、WebProsが示す修正版（9.0.8または8.13.7）が適用可能かを確認する。サポート終了版の4.5.0以降を使っている組織は、WebProsの案内どおり修正版へアップグレードする必要がある。

WebProsのアドバイザリには、これらの脆弱性が実際に悪用されたとの記載はない。一方で、CVE-2026-67399は認証なしでサーバの制御を奪われ得る内容であり、WebPros自身が回避策を示していないことから、更新の優先度は高いと判断できる。

出典

この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。