無料スキャン
HIGHCVE-2026-29205CVSS 8.6

CVE-2026-29205: Arbitrary File Access in cPanel

プラットフォーム

cpanel

コンポーネント

cpanel

修正版

11.136.1.12

NVDで見る
保存

CVE-2026-29205は、cPanelにおける任意のファイルアクセス脆弱性です。この脆弱性は、不適切な権限管理と不十分なパスフィルタリングによって引き起こされ、攻撃者がcPanelのattachmentダウンロードエンドポイントを通じてサーバー上の任意のファイルを読み取ることが可能になります。影響を受けるバージョンはcPanel 11.120.0.0から11.136.1.12です。バージョン11.136.1.12以降で修正されています。

影響と攻撃シナリオ

この脆弱性を悪用されると、攻撃者はcPanelのattachmentダウンロードエンドポイントを介して、サーバー上の機密情報を含む任意のファイルを読み取ることができます。例えば、設定ファイル、データベースのバックアップ、ユーザーの個人情報などが含まれる可能性があります。攻撃者は、この情報を利用して、システムへのさらなる侵入を試みたり、機密情報を盗み出したりする可能性があります。この脆弱性は、cPanelをホストするサーバー全体に影響を及ぼす可能性があり、影響範囲は広範に及ぶ可能性があります。

悪用の状況

このCVEは2026年5月13日に公開されました。現時点では、この脆弱性を悪用した具体的な事例は報告されていませんが、攻撃者による悪用が懸念されます。公開されている情報に基づいて、攻撃者はこの脆弱性を利用して、機密情報を盗み出す可能性があります。この脆弱性は、cPanelを使用しているすべてのシステムに影響を与える可能性があります。

脅威インテリジェンス

エクスプロイト状況

概念実証不明
CISA KEVNO
インターネット露出高
レポート2 件の脅威レポート

CISA SSVC

悪用状況none
自動化可能yes
技術的影響partial

CVSS ベクトル

脅威インテリジェンス· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L8.6HIGHAttack VectorNetwork攻撃者がターゲットに到達する方法Attack ComplexityLow悪用に必要な条件Privileges RequiredNone攻撃に必要な認証レベルUser InteractionNone被害者の操作が必要かどうかScopeUnchanged影響コンポーネント外への波及ConfidentialityHigh機密データ漏洩のリスクIntegrityLow不正データ改ざんのリスクAvailabilityLowサービス障害のリスクnextguardhq.com · CVSS v3.1 基本スコア
これらのメトリクスの意味は？
Attack Vector
ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
Attack Complexity
低 — 特別な条件不要。安定して悪用可能。
Privileges Required
なし — 認証不要。資格情報なしで悪用可能。
User Interaction
なし — 自動かつ無音の攻撃。被害者は何もしない。
Scope
変化なし — 影響は脆弱なコンポーネントのみ。
Confidentiality
高 — 機密性の完全喪失。全データが読み取り可能。
Integrity
低 — 限定的な範囲でデータ変更可能。
Availability
低 — 部分的または断続的なサービス拒否。

影響を受けるソフトウェア

コンポーネントcpanel
ベンダーWebPros
最小バージョン11.120.0.0
最大バージョン11.136.1.12
修正版11.136.1.12

弱点分類 (CWE)

CWE-250

タイムライン

  1. 予約済み
  2. 公開日
  3. 更新日

緩和策と回避策

この脆弱性への対応策として、まず、cPanelをバージョン11.136.1.12以降にアップデートすることを推奨します。アップデートが困難な場合は、一時的な回避策として、cPanelのattachmentダウンロードエンドポイントへのアクセスを制限するファイアウォールルールを実装することを検討してください。また、cPanelのログを監視し、不審なアクティビティがないか確認することも重要です。アップデート後、cPanelのバージョンを確認し、脆弱性が修正されていることを確認してください。

修正方法翻訳中…

Actualice cPanel a la versión 11.136.0.10 o posterior para mitigar la vulnerabilidad. Esta actualización corrige una falla en la gestión de privilegios y el filtrado de rutas que permitía la lectura de archivos arbitrarios a través de los puntos finales de descarga de archivos adjuntos cpdavd.

よくある質問

CVE-2026-29205 — 任意のファイルアクセス脆弱性とはcPanelで何ですか？

CVE-2026-29205は、cPanelにおいて、不適切な権限管理により、攻撃者がサーバー上の任意のファイルを読み取ることができる脆弱性です。CVSSは8.6 (HIGH)と評価されています。

CVE-2026-29205 in cPanelで影響を受けていますか？

cPanelのバージョンが11.120.0.0～11.136.1.12を使用している場合は、影響を受けている可能性があります。バージョン11.136.1.12以降にアップデートしてください。

CVE-2026-29205 in cPanelを修正するにはどうすればよいですか？

cPanelをバージョン11.136.1.12以降にアップデートしてください。アップデートが困難な場合は、ファイアウォールルールでアクセスを制限することを検討してください。

CVE-2026-29205は積極的に悪用されていますか？

現時点では、この脆弱性を悪用した具体的な事例は報告されていませんが、攻撃者による悪用が懸念されます。

CVE-2026-29205に関するcPanelの公式アドバイザリはどこで入手できますか？

cPanelの公式アドバイザリは、cPanelのセキュリティアドバイザリページで確認できます。

あなたのプロジェクトは影響を受けていますか?

依存関係ファイルをアップロードすれば、このCVEや他のCVEがあなたに影響するか即座にわかります。

無料スキャンCVEを検索
scanZone.liveBadgescanZone.eyebrow

今すぐ試す — アカウント不要

Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.

手動スキャンSlack/メールアラートContinuous monitoringホワイトラベルレポート

依存関係ファイルをドラッグ＆ドロップ

composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...