Trusted Design

解説:

1. 脆弱性の概要

CVE‑2026‑54420 は LiteSpeed cPanel Plugin（LiteSpeed WHM PlugIn に含まれるコンポーネント） に存在するシンボリックリンク（symlink）処理の不備（CWE‑61：Path Traversal via Symlink） による脆弱性。

FTP または WebShell アクセス権を持つユーザー が、CloudLinux/CageFS を使用する共有ホスティング環境で任意の場所を指す symlink を作成することで、プラグインが本来アクセスすべきでないファイルを読み取り・実行してしまう。

この問題は 2026年5月に実際に悪用された（exploited in the wild） と報告されている。

1.1 影響

• 任意ファイルの読み取り・実行が可能
• サーバー上の機密ファイルへのアクセス
• RCE（リモートコード実行）につながる可能性（symlink 経由で任意ファイルを実行できるため）

1.2 深刻度

• CVSS v3.1：8.5（High）
  Vector：AV:N / AC:H / PR:L / UI:N / S:C / C:H / I:H / A:H
  （MITRE / NVD による評価）

• CISA Known Exploited Vulnerabilities（KEV）登録済み
  → 実際に悪用が確認されている

2. 対象となる環境

2.1 影響を受ける製品・バージョン

• LiteSpeed cPanel Plugin v2.4.8 未満
• LiteSpeed WHM PlugIn v5.3.2.0 未満（cPanel Plugin v2.4.8 を含む）

2.2 影響を受ける設定

• CloudLinux + CageFS を使用する共有ホスティング環境
• FTP または WebShell による書き込みアクセスが可能なユーザーが存在
  （攻撃者は共有環境内の一般ユーザーでよい）

3. 影響を受けた時の兆候（IoC）

公式に明確な IoC は公開されていないが、脆弱性の性質から以下が事実ベースで起こり得る：

• CageFS 内に 外部パスを指す不審な symlink が存在
• LiteSpeed プラグインによる 意図しないファイルアクセスログ
• サーバー上での 不審なファイル読み取り・実行
  （※特定の IoC は公開されていない）

4. 推奨対策

4.1 本対策（恒久対策）

ベンダー公式の修正：

• LiteSpeed WHM PlugIn v5.3.2.0 以上へアップデート
  → cPanel Plugin v2.4.8 を含み、脆弱性が修正済み

4.2 暫定回避策（緩和策）

OpenCVE 推奨：

• LiteSpeed cPanel Plugin を無効化
• symlink 作成を制限する CloudLinux/CageFS のハードニングを適用
• 共有ホスティング環境でのファイルパーミッションを強化

5. その他補足すべき観点

5.1 悪用状況

• 2026年5月に実際に悪用された（exploited in the wild）
• CISA KEV に登録済み → 悪用が確認されている脆弱性

5.2 脆弱性の根本原因

• symlink の解決処理におけるパス検証不足（CWE‑61）
  → 攻撃者が任意のファイルパスを参照させることが可能