レンタルサーバー管理画面「cPanel/WHM」に緊急の脆弱性、ログインなしで管理者権限を奪われるおそれ（CVE-2026-41940）

何が起きたか

cPanel & WebHost Manager（WHM）は、世界中の多くのレンタルサーバー会社が、サーバー上のウェブサイト・データベース・メールアカウントなどを管理するために使っている管理ソフトです。たとえるなら、1棟のビルに入っている多数の部屋（ウェブサイトやメールアカウント）をまとめて管理する「管理人室」であり、そこに保管されているのが全部屋に出入りできるマスターキーです。このWHMに、本来必要なはずの認証処理が一部で行われていない不具合（CVE-2026-41940）が見つかり、2026年4月28日に修正版が公開されました。

カナダ政府のサイバーセキュリティセンターが公開した注意喚起によると、この不具合はログインなしの第三者がWHMの管理画面に到達できてしまうもので、鍵がかかっているはずの管理人室の扉が、鍵を持たない人でも開けられる状態になっていたようなものです。悪用された場合はサーバー上の全ウェブサイト・データベース・メールアカウントへのアクセスや、サーバー設定の変更にまでつながるおそれがあるとされています。共用サーバー（1台のサーバーを複数の契約者で共有する形態）の場合、1つの不具合から同じサーバー上の他の契約者のサイトにまで影響が広がる可能性も指摘されています。1棟のビルを複数の入居者で分け合っているとき、管理人室のマスターキーが奪われれば、自分の部屋だけでなく他の入居者の部屋まで開けられてしまうのと同じ構図です。

同センターは、2026年4月29日時点の情報として「悪用される可能性が高い」と評価しており、米国CISA（サイバーセキュリティ・インフラストラキュリティ庁）は2026年4月30日付でこの脆弱性を「悪用が確認された脆弱性」の一覧（KEVカタログ）に追加したと複数の報道機関が伝えています。なお、実際の悪用の開始時期については報道によって2026年2月下旬からとする説もありますが、この点は発信元によって情報に差があり、本記事では確定した事実として扱っていません。

誰に関係するか

この問題は、サーバーの管理ソフト自体の不具合であるため、次のような方に関係します。

• 自分でVPS（仮想専用サーバー）や専用サーバーを借り、cPanel/WHMを使って自分自身でサーバーを管理している方
• レンタルサーバー会社（ホスティング会社）として、cPanel/WHMを使って複数の契約者のサーバーを運用している事業者

一般的な共用レンタルサーバーを契約してウェブサイトを運営しているだけの方は、直接この管理画面を操作する機会は少ないかもしれません。マンションの一室を借りている住人が、建物の管理人室のマスターキーの管理まで自分で行う必要はないのと同じで、ここでの対応はサーバー会社という「管理人」の仕事です。ただし、契約先のサーバー会社がcPanel/WHMを使って運用している場合、その管理人室の鍵の状態が、結局は自分の部屋（サイト）の安全にも関わってきます。

何をすべきか

1. 自分でサーバーを管理している場合は、今すぐ更新する

VPSや専用サーバーを借りてcPanel/WHMを自分で管理している場合は、修正版（2026年4月28日公開の一連のアップデート）が適用されているか確認し、未対応であれば今すぐ更新してください。

2. レンタルサーバー会社に確認する

共用のレンタルサーバーを契約している場合は、サーバー会社がcPanel/WHMを使っているか、2026年4月の修正版に対応済みかを問い合わせてください。多くの大手レンタルサーバー会社では、通常こうした修正は契約者側の操作なしに会社側で適用されますが、念のため確認しておくと安心です。

3. 不審なログイン履歴がないか確認する

サーバーの管理画面にログイン履歴の確認機能がある場合は、身に覚えのないログインがないか確認することをおすすめします。管理人室に無断で立ち入った形跡がないかを見回るようなイメージです。自分で判断がつかない場合は、管理会社に確認を依頼してください。

よくある質問

自分でcPanel/WHMを使っていなくても関係がありますか？

多くのレンタルサーバー会社が、サーバー管理の裏側でcPanel/WHMという管理ソフトを使っています。自分では画面を見たことがなくても、契約しているレンタルサーバー会社がcPanel/WHMを使って運用している場合は影響を受ける可能性があります。管理会社に確認することをおすすめします。

どのバージョンが対象ですか？

cPanel & WebHost Manager（WHM）の、各リリース系列ごとに定められた修正版より前のバージョンが対象です。開発元が2026年4月28日に公開した一連の修正版（例：11.86.0.41、11.136.0.5など）より前であれば対象となります。

何をすればいいですか？

自分でVPSや専用サーバーを借りてcPanel/WHMを管理している場合は、今すぐ修正版に更新してください。レンタルサーバー（共用サーバー）を契約している場合は、サーバー会社が対応済みかどうかを問い合わせてください。

参考にした公開情報

• カナダ・サイバーセキュリティセンター：Alert AL26-008（英語）
• カナダ・サイバーセキュリティセンター：cPanel security advisory AV26-404（英語）
• The Hacker News：cPanel認証バイパスの解説記事（英語）

修正バージョン番号はカナダ政府のサイバーセキュリティセンターが公開した一覧をもとにしています。実際の悪用開始時期やCVSS評価は情報源によって差があり、本記事では確定していない数値は記載していません。この記事は公開情報をもとに、セキュリティ担当がいない方にも分かるよう編集部がまとめたものです。個別のサイトの安全を保証するものではありません。