技術的な説明
LiteSpeed User-End cPanelプラグイン 2.4.5以前のバージョンには、Redis有効/無効機能における不正な権限割り当て（CWE-266）に起因する権限昇格脆弱性が存在します。プラグインのredisAble JSON API関数は、特権操作を実行する前に認可を適切に検証していないため、任意のcPanelユーザーアカウント、または認証されていないネットワーク攻撃者がroot権限まで権限昇格できる可能性があります。この脆弱性は2026年5月に野生で悪用され、2026年5月26日にCISAの既知の悪用される脆弱性カタログに追加され、連邦政府の対応期限は2026年5月29日です。
攻撃経路
ネットワークアクセス可能、認証不要。攻撃者がcPanel JSON APIをターゲットとした細工されたHTTPリクエスト（cpanel_jsonapi_func=redisAble）を送信します。検出: cPanelログで「cpanel_jsonapi_func=redisAble」を検索して悪用の試みを識別します。
影響を受けるシステム
LiteSpeed User-End cPanelプラグイン 2.4.5以前のバージョン。親のLiteSpeed WHMプラグインは影響を受けません。共有およびリセラーホスティング環境は危険性が高くなります。1つの侵害されたcPanelアカウントが共有サーバー上でroot権限に昇格できます。
緩和策
LiteSpeed User-End cPanelプラグイン 2.4.5以降（LiteSpeedリリースログに従い2.4.7とWHMプラグイン5.3.1.0バンドルの使用を推奨）にアップグレードします。/var/cpanel/logsおよび/usr/local/cpanel/logs/で「cpanel_jsonapi_func=redisAble」を検索して、以前の悪用を識別します。連邦機関は2026年5月29日までに対応する必要があります。