CVE-2026-54420

NVD 詳細

概要

CVE-2026-54420（LiteSpeed cPanel Plugin / Symlink Followingによるroot権限昇格）、CVE-2026-20262（Cisco Catalyst SD-WAN Manager / パス

脆弱性情報（NVD）

• 深刻度: 重要（CVSS 8.5）
• CVSSベクター: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H
• CWE: CWE-61
• EPSS: 1.26%（上位 34.2%）

影響を受けるバージョン:

• Litespeedtech Litespeed Cpanel Plugin: < 2.4.8
• Litespeedtech Litespeed Whm Plugin: < 5.3.2.0

原文: LiteSpeed cPanel plugin before 2.4.8 (as distributed in LiteSpeed WHM PlugIn before 5.3.2.0) mishandles symlinks provided by a user with FTP or web shell access on a shared hosting server running CloudLinux/CageFS, as exploited in the wild in May 2026.

技術詳細

脆弱性の概要

本脆弱性は、LiteSpeed cPanel/WHM プラグインが、共有ホスティング環境（CloudLinux/CageFS）においてユーザーが作成したシンボリックリンクを適切に処理しないことに起因する。制限付きユーザー（FTP/WebShell）が細工したシンボリックリンクをプラグインが辿ることで、CageFS による隔離を突破し、上位の権限や他ユーザーのリソースにアクセス可能となる。CVSS 8.5、スコープ変更を伴うため、情報漏洩・整合性破壊・サービス停止が同一ホスト内の異なるセキュリティ境界に及ぶ。

根本原因

情報不足（公開情報にはコードレベルの根本原因は記載されていない）。CWE-61（UNIX シンボリックリンクの追跡）に分類されていることから、プラグインの内部処理（例：ファイル操作・設定読み込み等）が、対象パスの実体を検証せずにシンボリックリンクを辿る実装になっていたと推定される。CageFS で隔離されたユーザー空間とプラグインの動作コンテキスト間の不整合が原因と考えられる。

攻撃シナリオ

1. 攻撃者は共有ホスティングサーバー上で、FTPアカウントまたはWebShell等の低権限アクセスを取得する。
2. 自身の CageFS 隔離ディレクトリ（例: /home/user/）内に、外部の重要ファイル（例: /etc/passwd, /root/.ssh/id_rsa や他ユーザーの設定ファイル）を指すシンボリックリンクを作成する。
3. LiteSpeed cPanel プラグイン（またはWHMプラグイン）が、ユーザーの操作や定期処理に伴い当該シンボリックリンクを含むパスを操作する。
4. プラグインはリンク先を追跡してしまい、CageFSの制限外のファイルを読み取り・改ざん、あるいは実行し、結果としてシステム全体や他ユーザーへの影響（機密性・完全性・可用性の喪失）が生じる。

検出方法

ブラックボックステスト

情報不足（具体的なトリガーエンドポイント・操作は公開されていない）。
以下は一般的な検証アプローチである。

• CageFS が有効な共有ホスティング環境で、テスト用の一般ユーザーアカウントを用意する。
• ユーザーのドキュメントルート等にシンボリックリンクを作成する：ln -s /etc/passwd /home/testuser/public_html/passwd_symlink
• プラグインがファイルを処理する操作（例：cPanelプラグインの管理画面へのアクセス、バックアップ機能、ログビューア等）を実行する。
• 応答や出力に /etc/passwd の内容が含まれていないか、またはサーバー側で意図しないエラーが発生していないか確認する。
• curl コマンド例：curl -k "https://target.example.com:2083/cpsessXXXX/plugin_endpoint?file=public_html/passwd_symlink"（エンドポイントは情報不足のため仮のもの）
  ※実際の攻撃コードは 2026年5月に悪用が確認されているため、テストは十分に隔離された環境でのみ行うこと。

ホワイトボックステスト

情報不足（プラグインの具体的なソースコード構造は不明）。一般的な確認ポイントを以下に示す。

• プラグインの Perl/PHP/バイナリコード内で、ファイルを開く処理（fopen, file_get_contents, open 等）に対し、O_NOFOLLOW フラグや realpath() による正規化・検証が行われているか調査する。
• コード全体で symlink, readlink, lstat 等のシンボリックリンクに関連する関数の使用箇所を特定し、その戻り値やリンク先のバリデーション不備を探す。
• grep 例：grep -rn 'readlink\|symlink\|lstat' /usr/local/cpanel/plugins/litespeed/
• 特に、CageFS 環境を想定したパスのサニタイズ（/home/virtfs/ 等のチェック）が不足していないか確認する。

対策

恒久的対策

• cPanel プラグインを 2.4.8 以上に更新する。
• WHM プラグインを 5.3.2.0 以上に更新する。
  更新コマンド例（cPanel/WHM環境に依存）：

  /usr/local/cpanel/scripts/update_plugins
  

  またはベンダー提供の最新パッケージを手動インストールする。
• 更新後、プラグインのバージョンが修正バージョン以上であることを確認する。

暫定対策

パッチ適用が不可能な場合、以下の軽減策を組み合わせる。

• CageFS のシンボリックリンク制限ポリシーを強化し、ユーザーによる外部ファイルへのシンボリックリンク作成を禁止する（cagefsctl --disable-symlink 等、設定は情報不足）。
• WebShell や FTP へのアクセスを必要最小限に制限する。
• LiteSpeed cPanel プラグインの一時的な無効化（機能停止のリスクあり）：cPanel の「プラグイン」管理画面から該当プラグインを無効化する。
• WAF や ModSecurity で、シンボリックリンクを含むパスパラメータを検知するルールを追加する（ただし根本対策ではない）。

VulnCheck KEV

• 製品: LiteSpeed cPanel Plugin
• CISA KEV 掲載: ✅ あり
• ランサムウェア悪用: Unknown

悪用事例

• 2026-06-01
• 2026-06-14
• 2026-06-15
• 2026-06-16

参考リンク

• blog.litespeedtech.com Vendor Advisory
• www.litespeedtech.com Product
• www.cisa.gov US Government Resource

言及日

• 2026-06-17
• 2026-06-25