つみかさね

CVE-2026-71966

High(8.8)

CyberPanelの認証済みコマンドインジェクション CVE-2026-71966：影響範囲と対応方法

公開日: 2026-08-16データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
CyberPanelusmannasir2.4.3（コミット eca0c3c で修正）

対応ガイド

high|推奨セキュリティ修正影響: 限定的

推奨アクション

  1. 1CyberPanel のバージョンが 2.4.3 か確認する
  2. 2修正コミット（eca0c3c）以降へアップデートする
  3. 3更新までリモートバックアップ転送を停止し、管理画面のアクセス元を制限する

影響対象

CyberPanel 2.4.3 利用者

対応不要な人

  • ✓CyberPanel を利用していない
  • ✓修正コミット（eca0c3c）以降へ更新済み

補足

  • -認証済みユーザーによる悪用を想定し、権限とアクセス経路を見直してください
CVECyberPanelコマンドインジェクションOSコマンドPoC

30秒で判断

  • 対応すべき人: CyberPanel 2.4.3 を運用し、リモートバックアップ転送機能を利用している管理者
  • 対応不要な人: CyberPanel を利用していない／修正コミット（eca0c3c）以降へ更新済みの人
  • 確認コマンド: CyberPanel の管理画面またはインストール情報でバージョンを確認

概要

CVE-2026-71966 は、CyberPanel 2.4.3 のリモートバックアップ転送機能における認証済みコマンドインジェクションです。CWE-78（OSコマンドインジェクション）に該当し、CVSSスコアは 8.8（High）です。

リモートサーバーのAPI応答に含まれるディレクトリ名がセキュリティミドルウェアの検証をすり抜け、サニタイズされないまま OS コマンド実行関数へ渡されます。この結果、認証済み攻撃者が細工したディレクトリ名を通じて任意の OS コマンドを実行できます。PoC およびアドバイザリが公開されています。

攻撃条件（NVD/ベンダー記載より）

評価項目内容
CVSSスコア8.8（High）
脆弱性種別CWE-78（OSコマンドインジェクション）
攻撃元区分ネットワーク
必要な認証必要（認証済みユーザー）
PoC公開済み

影響を受けるソフトウェア

製品ベンダー影響バージョン修正
CyberPanelusmannasir2.4.3コミット eca0c3c

修正バージョンと回避策

  • 修正コミット（eca0c3c）以降へアップデートしてください。
  • 更新までの間は、リモートバックアップ転送機能の利用を停止し、管理画面へのアクセス元を信頼できるネットワークに限定してください。

関連リンク

データソース: NVD (NIST), VulnCheck AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-71966
GitHub:https://github.com/usmannasir/cyberpanel/commit/eca0c3cbeb35af8eaae9fafb094e8ef3cd923643
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。