脆弱性対応ウォッチ重大・クリティカル脆弱性のクラウド別対応まとめ
最新更新履歴CriticalHighAWSGCPAzureLinux
Critical CVSS 10.0 KEV 悪用確認
CVE-2026-48172

LiteSpeed cPanelプラグイン 権限昇格（root到達・実際に悪用・KEV）

情報取得日: 2026/05/21／最終確認: 2026/07/22・本ページは公開情報の非公式まとめです

CVE IDCVE-2026-48172
製品LiteSpeed Technologies / LiteSpeed User-End cPanel Plugin (2.4.5 より前)
CVSS10.0（Critical）
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
種別 (CWE)CWE-269 Improper Privilege Management
登録／公開日2026/05/21
KEV 期限2026/05/29 まで（米国連邦機関向け目安）
推奨対応ベンダーの指示に従い緩和策/更新を適用（クラウドは該当BODガイダンスに従う。緩和不能なら利用停止）。
出典https://nvd.nist.gov/vuln/detail/CVE-2026-48172

概要

共用ホスティングで広く使われる LiteSpeed の cPanel ユーザー向けプラグイン（LiteSpeed User-End cPanel Plugin）2.4.5 より前に権限昇格の脆弱性がある。一般の cPanel ユーザーアカウントから任意のスクリプトを昇格権限（root に到達しうる）で実行できるため、同一サーバ上の他テナントを含むホスト全体が侵害されうる。NVD の CVSS v4 基本値は 10.0（Critical）。ベンダーは 2026-05-21 付でセキュリティ更新を公開し、NVD は2026年5月に実際に悪用されたと明記している。CISA は KEV に追加（是正期限 2026-05-29）。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

環境対応状況対応方法・備考
AWS (ECS/EC2) パッチあり（アプリ更新）
EC2/Lightsail 上で cPanel と LiteSpeed を運用している場合、プラグインを 2.4.5 以降へ更新する。
顧客管理ソフトウェアの脆弱性。AWS マネージドサービス側の対応は無い。
参照リンク
GCP パッチあり（アプリ更新）
Compute Engine 上の cPanel サーバで LiteSpeed プラグインを 2.4.5 以降へ更新する。
顧客管理アプリ側の更新で対応。
参照リンク
Azure パッチあり（アプリ更新）
Azure VM 上の cPanel サーバで LiteSpeed プラグインを 2.4.5 以降へ更新する。
顧客管理アプリ側の更新で対応。
参照リンク
Linux ベンダーFW更新
ディストリのパッケージではなく LiteSpeed 公式のプラグイン更新（2.4.5 以降）で対応する。
主要ディストリの標準リポジトリには含まれないため、ベンダー配布物の更新が必要。
参照リンク

CVE-2026-48172 の対応手順（環境別）

確認できた公式情報に基づく環境別の対応手順です。実施前に必ず一次情報と自環境で検証してください。

  1. AWS 環境での対応
    EC2/Lightsail 上で cPanel と LiteSpeed を運用している場合、プラグインを 2.4.5 以降へ更新する。（顧客管理ソフトウェアの脆弱性。AWS マネージドサービス側の対応は無い。） 参照
  2. GCP 環境での対応
    Compute Engine 上の cPanel サーバで LiteSpeed プラグインを 2.4.5 以降へ更新する。（顧客管理アプリ側の更新で対応。） 参照
  3. Azure 環境での対応
    Azure VM 上の cPanel サーバで LiteSpeed プラグインを 2.4.5 以降へ更新する。（顧客管理アプリ側の更新で対応。） 参照
  4. Linux 環境での対応
    ディストリのパッケージではなく LiteSpeed 公式のプラグイン更新（2.4.5 以降）で対応する。（主要ディストリの標準リポジトリには含まれないため、ベンダー配布物の更新が必要。） 参照

解決の方向性（パッチ／回避策／代替）

プラグインを 2.4.5 以降へ更新する（cPanel/WHM 上の LiteSpeed プラグイン更新、または LiteSpeed 提供のインストーラを再実行）。共用ホスティング事業者は全ノードでバージョンを確認し、NVD/ベンダーが示す検知方法（cpanel_jsonapi 等の呼び出し痕跡の grep）で侵害痕跡を点検する。更新できない場合はユーザー向けプラグインの提供を一時停止する。

よくある質問（CVE-2026-48172）

CVE-2026-48172（LiteSpeed User-End cPanel Plugin）の影響は？

Critical（CVSS 10.0）に分類されるLiteSpeed Technologies LiteSpeed User-End cPanel Plugin (2.4.5 より前)の脆弱性です。共用ホスティングで広く使われる LiteSpeed の cPanel ユーザー向けプラグイン（LiteSpeed User-End cPanel Plugin）2.4.5 より前に権限昇格の脆弱性がある。一般の cPanel ユーザーアカウントから任意のスクリプトを昇格権限（root に到達しうる）で実行できるため、同一サーバ上の他テナントを含むホスト全体が侵害されうる。NVD の CVSS v4 基本値は 10.0（Critical）。ベンダーは 2026-05-21 付でセキュリティ更新を公開し、NVD は2026年5月に実際に悪用されたと明記している。CISA は KEV に追加（是正期限 2026-05-29）。

CVE-2026-48172 の対応方法・回避策は？

プラグインを 2.4.5 以降へ更新する（cPanel/WHM 上の LiteSpeed プラグイン更新、または LiteSpeed 提供のインストーラを再実行）。共用ホスティング事業者は全ノードでバージョンを確認し、NVD/ベンダーが示す検知方法（cpanel_jsonapi 等の呼び出し痕跡の grep）で侵害痕跡を点検する。更新できない場合はユーザー向けプラグインの提供を一時停止する。

自分の環境が CVE-2026-48172 の影響を受けるか確認するには？

LiteSpeed Technologies LiteSpeed User-End cPanel Plugin (2.4.5 より前) を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-48172）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-48172 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/05/29 です。推奨される対応: ベンダーの指示に従い緩和策/更新を適用（クラウドは該当BODガイダンスに従う。緩和不能なら利用停止）。

参考情報（出典）

本ページの記載は下記の一次情報に基づく非公式まとめです。数値・対応状況は各出典元で最終確認してください（最終確認: 2026/07/22）。

ベンダー公式・PSIRT アドバイザリ
CISA KEV（悪用確認・対応期限・ランサム利用の出典）
NVD（CVE 基本情報・CVSS スコアの出典）
免責: 本ページは CISA KEV・NVD・各ベンダー公式アドバイザリ等の公開情報をもとにした非公式まとめです。修正バージョンや対応可否は変更される場合があります。実際の対応は必ず 出典元および各ベンダー公式情報・自環境で確認してください。

« 一覧に戻る