CVE-2026-50979: oPanelにおける認証済みリモートコード実行

概要

• CVE ID: CVE-2026-50979
• 製品名: oPanel
• 影響を受けるバージョン: v1.19.50 およびそれ以前
• 脆弱性タイプ: 認証済みコマンドインジェクション / リモートコード実行 (RCE)
• 脆弱性コンポーネント: /advanced/curl エンドポイント
• 深刻度: 重大

説明

oPanel (バージョン v1.19.50 およびそれ以前) の advanced/curl エンドポイントにコマンドインジェクションの脆弱性が存在します。アプリケーションは、url パラメータに提供されたユーザー入力を、システムの基盤となる curl 実行ルーチンに渡す前に適切にサニタイズできていません。

認証された攻撃者は、シェル変数 (${IFS} など) を使用して基本的なスペース制限を回避し、任意のオペレーティングシステムコマンド (; 演算子を使用するなど) を注入できます。これにより、攻撃者は Web アプリケーションの権限で基盤となるサーバー上で任意のコードを実行できるようになります。

影響

悪用に成功すると、認証されたユーザーが oPanel をホストしているサーバー上で任意のシェルコマンドを実行できるようになります。これにより、システム全体の侵害、不正なデータアクセス、ネットワーク内でのさらなる横方向の移動が引き起こされる可能性があります。

概念実証 (PoC)

この脆弱性は、認証成功後に細工された HTTP POST リクエストを脆弱なエンドポイントに送信することで引き起こされます。

脆弱性エンドポイント: POST /advanced/curl (通常はポート 2083 からアクセス)

悪意のあるペイロード構造:

POST /advanced/curl HTTP/1.1
Host: <target_ip>:2083
Content-Type: application/x-www-form-urlencoded
Cookie: <valid_authentication_cookies>

url=[http://example.com/;id](http://example.com/;id)