技術的な説明
LiteSpeed User-End cPanelプラグイン 2.4.5より前のバージョンには、Redis有効/無効機能における不正な特権割り当て（CWE-266）に起因する特権昇格の脆弱性が存在します。プラグインのredisAble JSON API関数は、特権操作を実行する前に認可を適切に検証していないため、任意のcPanelユーザーアカウント、または認証されていないネットワーク攻撃者が特権を昇格させることが可能であり、root権限までの昇格の可能性があります。この脆弱性は2026年5月に野生で悪用され、2026年5月26日にCISAの既知悪用脆弱性カタログに追加され、連邦政府の対応期限は2026年5月29日となっています。
攻撃経路
ネットワークアクセス可能で、認証不要。攻撃者はcPanel JSON APIを対象とした細工されたHTTPリクエストをcpanel_jsonapi_func=redisAbleに送信します。検出方法: cPanelログで「cpanel_jsonapi_func=redisAble」を検索して悪用の試みを特定します。
影響を受けるシステム
LiteSpeed User-End cPanelプラグイン 2.4.5より前のバージョン。親となるLiteSpeed WHMプラグインは影響を受けません。共有ホスティングおよびリセラーホスティング環境はリスクが高まっています: 1つの侵害されたcPanelアカウントが共有サーバー上でroot権限に昇格する可能性があります。
緩和策
LiteSpeed User-End cPanelプラグイン 2.4.5以降のバージョン（LiteSpeedリリースログに従ってWHMプラグイン5.3.1.0バンドル搭載の2.4.7を推奨）にアップグレードしてください。/var/cpanel/logsおよび/usr/local/cpanel/logs/で「cpanel_jsonapi_func=redisAble」を検索して、過去の悪用を特定してください。連邦政府機関は2026年5月29日までに修復する必要があります。