VestaCP config-parser の eval シンク → root RCE (VESTACP-2026-001)

オリジナルの Vesta Control Panel (VestaCP) ≤ 0.9.8-26 (github.com/serghey-rodin/vesta、vestacp.com — 2019年9月以降メンテナンス されていない) に関するセキュリティアドバイザリ: func/main.sh 内の共有 config パーサは、root として実行される v-* スクリプト内で、ユーザが制御 可能な KEY='value' 行を eval で評価する — 認証済みのパネルユーザが ホスティングノード上で完全な root 権限に昇格できる。

• GHSA: GHSA-m2mc-xwq7-pw72
• 深刻度: Critical、CVSS 9.9 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H)
• 分類: CWE-78 / CWE-95

これは、メンテナンスされているフォーク HestiaCP において2026年7月に 修正されたものと同じシンククラスである — CVE-2026-84981、 CVE-2026-84984、 CVE-2026-84979 — その祖先であるオリジナルの VestaCP では開示も修正もされていない。また、 VestaCP の以前の CVE (CVE-2019-9859 PHP レイヤ、 CVE-2021-30462/30463 LPE チェーン、CVE-2022-3967 sed インジェクション) とも異なる。アドバイザリの Prior art セクションを参照。本番環境で VestaCP を未だに運用しているインストールベース (VPS テンプレートで広く 配布されている) のために公開された。

目次

• advisory/VESTACP-2026-001.md — 完全な アドバイザリ: 影響を受けるシンク、悪用経路、影響、先行事例、スコープ、 緩和策、タイムライン。
• poc/poc-eval-sink.sh — 自己完結型の概念実証: 細工された conf 行に対して脆弱な eval パースをシミュレートし、 強化されたパーサがそれを無効化することを示す。mktemp サンドボックス内で 実行され、VestaCP のインストールを必要としない。
• mitigation/non-eval-parser.sh — ドロップイン の parse_object_kv_list と、すべての eval 箇所向けの移植手順。

PoC の実行

bash poc/poc-eval-sink.sh

期待される結果: 脆弱なパースはマーカーファイルを作成し (インジェクションが 実行される)、強化されたパースはそれを不活性のままにする (値はリテラルとして 保持される)。

報告者

Bryan Ramirez — SYSDOP LLC · [email protected]

2026年8月、本番ホスティングインフラの防御的セキュリティ監査中に発見。 2026年10月に開示。