CVE-2026-29206: SQL Injection in cPanel 11.102.0.0–11.136.1.12
プラットフォーム
cpanel
コンポーネント
cpanel
修正版
11.136.1.12
CVE-2026-29206は、cPanelのsqloptimizerユーティリティスクリプトにおけるSQLインジェクション脆弱性です。この脆弱性は、Slow Queryログが有効な場合に、攻撃者がルートユーザーになりすましてSQLクエリを操作することを可能にします。影響を受けるバージョンはcPanel 11.102.0.0から11.136.1.12です。この脆弱性はバージョン11.136.1.12で修正されています。
影響と攻撃シナリオ
このSQLインジェクション脆弱性を悪用されると、攻撃者はデータベース内の機密情報（ユーザー名、パスワード、ホスティングアカウント情報など）に不正にアクセスしたり、改ざんしたりする可能性があります。さらに、ルート権限を取得することで、サーバー全体の制御を奪取し、マルウェアのインストールやデータの破壊といった深刻な被害をもたらす可能性があります。この脆弱性は、Log4Shellのような広範囲な影響を及ぼす可能性があり、注意が必要です。
悪用の状況
このCVEは2026年5月13日に公開されました。現時点では、KEV（Kernel Exploitability Test）の評価は不明です。EPSS（Exploit Prediction Scoring System）スコアもまだ評価されていません。公開されているPoC（Proof of Concept）は確認されていませんが、SQLインジェクション脆弱性は悪用事例が多く、今後悪用される可能性は高いと考えられます。NVD（National Vulnerability Database）およびCISA（Cybersecurity and Infrastructure Security Agency）の情報を定期的に確認し、最新の情報を入手するようにしてください。
脅威インテリジェンス
エクスプロイト状況
CVSS ベクトル
これらのメトリクスの意味は？
- Attack Vector
- ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
- Attack Complexity
- 低 — 特別な条件不要。安定して悪用可能。
- Privileges Required
- なし — 認証不要。資格情報なしで悪用可能。
- User Interaction
- 必要 — 被害者がファイルを開く、リンクをクリックするなどのアクションが必要。
- Scope
- 変化なし — 影響は脆弱なコンポーネントのみ。
- Confidentiality
- なし — 機密性への影響なし。
- Integrity
- 高 — 任意のデータの書き込み・変更・削除が可能。
- Availability
- 高 — 完全なクラッシュまたはリソース枯渇。完全なサービス拒否。
影響を受けるソフトウェア
弱点分類 (CWE)
タイムライン
- 予約済み
- 公開日
緩和策と回避策
まず、cPanelをバージョン11.136.1.12以降にアップデートすることを強く推奨します。アップデートが困難な場合は、Slow Queryログ機能を一時的に無効にすることで、攻撃対象領域を減らすことができます。Webアプリケーションファイアウォール（WAF）を導入し、SQLインジェクション攻撃を検知・防御するルールを設定することも有効です。また、データベースへのアクセス制御を強化し、不要な権限を付与しないように注意してください。アップデート後、データベースの整合性を確認し、不正な変更がないか確認してください。
修正方法翻訳中…
Actualice cPanel a la versión 11.94.0.31 o posterior para mitigar la vulnerabilidad de inyección SQL. La actualización corrige la falta de sanitización adecuada en las consultas SQL del script de utilidad `sqloptimizer`, previniendo la ejecución de código malicioso a través del registro de consultas lentas.
よくある質問
CVE-2026-29206 — SQL Injection in cPanelとは何ですか？
CVE-2026-29206は、cPanelのsqloptimizerユーティリティスクリプトにおけるSQLインジェクション脆弱性です。Slow Queryログが有効な場合、攻撃者がルートユーザーになりすます可能性があります。
CVE-2026-29206 in cPanelで影響を受けますか？
cPanelのバージョンが11.102.0.0から11.136.1.12である場合、影響を受ける可能性があります。バージョン11.136.1.12以降にアップデートしてください。
CVE-2026-29206 in cPanelを修正するにはどうすればよいですか？
cPanelをバージョン11.136.1.12以降にアップデートしてください。アップデートが困難な場合は、Slow Queryログ機能を一時的に無効にしてください。
CVE-2026-29206は積極的に悪用されていますか？
現時点では、公開されているPoCは確認されていませんが、SQLインジェクション脆弱性は悪用事例が多く、今後悪用される可能性は高いと考えられます。
CVE-2026-29206に関するcPanelの公式アドバイザリはどこで入手できますか？
cPanelの公式アドバイザリは、cPanelのセキュリティアドバイザリページで確認できます。
今すぐ試す — アカウント不要
Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
依存関係ファイルをドラッグ＆ドロップ
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...