【更新 2026-08-19】本記事を見直し、修正しました。主な修正点：冒頭の報道時期を「2026年5月」から「2026年6月」に修正（2.641のリリースは2026年5月11日ですが、CVE-2026-56020などがNVDに登録されたのは2026年6月18日で、本記事が出典に挙げたSecurity NEXTの報道は2026年6月19日でした）。
Linux/UNIXサーバの管理ツール「Webmin」に、認証バイパス・権限昇格・SSRFなどの脆弱性が相次いで修正されました。2026年6月に「最新版2.641で修正」と報じられましたが、本記事執筆時点（2026年8月17日）の最新版は2.653で、2.641より後の2.652・2.653でもクラウド認証情報の窃取につながりうるSSRFやACL迂回が修正されています。報道を見て2.641に上げただけの環境は、まだ未修正の問題を抱えています。
やることは2つです。(1) 自社サーバにWebminが入っていないかの棚卸し、(2) 入っていれば2.653以降への更新とポート10000の露出確認。「導入した覚えがない」サーバにこそ入っていることがあるツールです。
この記事でわかること
- Webminとは何か、なぜ「使っていないはず」の環境に入っているのか
- 2026年に修正された脆弱性の一覧（バージョン別・CVE別）
- 報道とNVD・ベンダー公式で情報が食い違っている点と、その読み解き方
- 自社が該当するかの確認方法と、対応の優先度をどう判断するか
Webminとは何者か
Webminとは、Linux/UNIX系サーバの設定をWebブラウザから行うための、Webベースのシステム管理ツールです。米国立標準技術研究所（NIST）のNVDでも「a web-based system administration tool for Unix-like servers」と説明されています。
ユーザーアカウント、DNS、Apache、MySQL/PostgreSQL、ファイアウォール、cronといった設定を、コマンドラインを使わずGUIで操作できます。そのため、Linuxに深く習熟した担当者がいない現場や、少人数でサーバを回している組織で重宝されてきました。既定ではTCPポート10000でHTTPS待受します。
「うちは使っていない」と即断できない理由
裏が取れている代表例がVirtualminです。Virtualmin公式ドキュメントは「Virtualmin runs on top of Webmin（VirtualminはWebminの上で動く）」と明記しています。つまりレンタルサーバやホスティングの管理画面としてVirtualminが入っていれば、その土台としてWebminが動いています。加えてWebminは公式のapt/dnfリポジトリを提供しており、apt-get install webmin の一行で入るため、前任者が検証用に入れて放置したサーバに残っているパターンも典型です。
該当判定は、次のような方法で行えます（導入方法により異なります）。
- パッケージ導入なら
rpm -qa | grep webmin（RHEL系）、dpkg -l | grep webmin（Debian系） - 設定ディレクトリ
/etc/webmin/の有無。バージョンは/etc/webmin/versionに平文で書かれています - ネットワーク側からはポート10000の待受確認。ソースからの手動導入ではポートを変更している場合もあります
2026年に何が修正されたのか
Webmin公式のセキュリティ情報とGitHubのリリース履歴から、2026年に修正された主な問題を時系列で整理します。
| 修正版 | 公開日 | 内容 | CVE |
|---|---|---|---|
| 2.640 | 2026年春 | Basic認証により2要素認証（2FA）の要求を迂回できる | CVE-2026-42210 / CVE-2026-56022 |
| 2.640 | 同上 | ヘルプ機能経由で、権限の低いユーザーがroot権限でコマンドを実行できる（アクセス可能なモジュールに関係なく成立） | CVEなし |
| 2.640 | 同上 | SVG添付メールによるXSS／添付保存時のファイル名生成が安全でなくファイル上書きが可能 | CVE-2026-49102 / CVE-2026-49103 |
| 2.641 | 2026年5月11日 | 通知メールテンプレートを介したストアドXSS（rootユーザーを狙える） | CVE-2026-22678 |
| 2.650 | 2026年6月26日 | SSL証明書ログインとプロキシ経由keep-aliveの認証状態処理を修正／RPC専用アカウントのアクセス遮断／反射型XSS | リリースノート記載 |
| 2.652 | 2026年7月17日 | Upload and Download・File ManagerモジュールのSSRF | CVEなし |
| 2.653 | 2026年7月27日 | DHCPd・MySQL・PostgreSQL・Nginx・Samba・Squidの各モジュールで、細粒度ACLの制限を迂回して再起動や設定編集ができる | CVEなし |
注目したいのは、CVE番号が振られていない修正が下のほうに固まっている点です。CVE一覧やスキャナの検知だけを見ていると、2.652・2.653の修正は視界に入りません。
なぜ2.652のSSRFが効くのか
SSRF（Server Side Request Forgery）は、サーバに意図しない先へHTTPリクエストを出させる攻撃です。Webmin公式はこの問題について、外部URLからファイルを取得できるモジュールにアクセスできる非信頼ユーザーが、利用者の手元からは到達できないサイト、具体的にはイントラネット上の他サーバや「クラウドプロバイダのIAM認証情報URL」にアクセスしうると説明しています。
クラウド上のVMでWebminを動かしている場合、インスタンスメタデータ経由でクラウドの一時認証情報が読み出される筋道がある、ということです。サーバ1台の問題がクラウドアカウント全体の問題に化ける可能性があり、CVEが振られていない割に影響は大きいと考えるべき修正です。なお公式は緩和策として、Webmin → Webmin Users → ユーザー名 → Permissions for all modules →「URL download destinations」でダウンロード先URLを制限することを案内しています。
報道・NVD・公式で食い違っている点
ここは実務判断に影響するので、断定せずに食い違いそのものを共有します。話題になったCVE-2026-56020（CVSS v4.0で9.2「クリティカル」、CVSS v3.1で8.1「重要」）について、情報源ごとに記述が異なります。
| 情報源 | 影響範囲・修正版の記述 |
|---|---|
| NVD（NIST） | miniserv.plに偽装HTTPヘッダを送ると、未認証の攻撃者が証明書DNを詐称し、SSLクライアント証明書が設定された任意のユーザーになりすませる。「Fixed in 2.202」と記載 |
| Webmin公式 | 「2.202以下」が影響。プロキシ経由のIPを信頼する設定かつクライアントSSL証明書認証を使う場合に、直接接続したブラウザが偽ヘッダで証明書を偽装できる。2.301以降へ更新を推奨（掲載日2025年2月26日） |
| 国内報道 | 2026年5月11日公開の2.641で修正されたものとして紹介 |
NVDの「2.202で修正済み」と公式の「2.202以下が影響」は正面から食い違っています。さらに2.650のリリースノートには「SSL証明書ログインとプロキシ経由keep-aliveリクエストの認証状態処理の修正」という、同系統に見える項目があります。どれが正しいかを本記事で断定することはできません。
ただし実務上の結論は単純です。版数の解釈で悩むより、最新の2.653以降へ更新すればすべて包含されます。「どのバージョンから安全か」を突き止める作業に時間を使う価値は、この件に関してはあまりありません。
「認証バイパス」という言葉の温度差にも注意
見出しだけを見ると「誰でも管理画面に入れる」と読めますが、公式・NVDの記述を読むと前提条件があります。
- CVE-2026-56020：公式の説明では「プロキシのIPを信頼する設定」かつ「クライアントSSL証明書認証を利用」という構成が前提。この構成を取っていない環境では成立しません。ただしNVDは前提条件をより緩く記述しており、ここでも記述に差があります
- CVE-2026-42210 / CVE-2026-56022（2FAバイパス）：公式が明記しているとおり、ユーザー名とパスワードは正しく入力する必要があります。つまり「認証情報がすでに漏れている状態で、最後の砦だったMFAが効かなくなる」性質の問題です
- 権限昇格系・XSS系の多く：「untrusted Webmin user（信頼できないWebminユーザー）」の存在が前提です
この読み分けは、経営層への説明でも、社内の優先度付けでも効きます。MFAの位置づけについては多要素認証（MFA）とは？仕組みと突破手口を解説もあわせて参照してください。
現場目線の課題
正直なところ、この手の脆弱性で一番やっかいなのは技術的な中身ではなく、「そもそも自社に入っているか分からない」ことです。
Webminは、担当者が代替わりするなかで棚卸しから漏れやすいタイプのソフトです。ホスティングの管理画面の下に入っている、数年前の検証機に入れたまま本番転用された、構築ベンダーが作業効率のために入れて引き継ぎ書に書かなかった――どれも珍しくありません。しかも資産管理ツールが拾うのはOSとエージェント導入済みのソフトが中心で、台帳に「Webmin」の4文字が並ばないのが実態です。
更新の観点でも差が出ます。公式リポジトリ経由なら通常のパッチ運用に乗りますが、tar.gzで手動導入されたものは自動更新の輪の外にあり放置されがちです。「パッチ適用率100%」のレポートの外側で古い2.6xxが動いている、という構図はいかにも起こりそうです。そしてポート10000はスキャン対象として広く知られた番号で、社内向けのつもりでもクラウドのセキュリティグループが緩ければ外から見えます。
管理画面がヘッダ操作で狙われる構図はSonicOSにHostヘッダ脆弱性、管理者を偽サイトへ誘導やFortinet脆弱性8件、FortiWebに認証バイパスとも共通しており、Webminに限った話ではありません。「知らないうちに動いている部品」という点ではESP-IDFにDHCP脆弱性 ESP32搭載機器が影響と同じ構造の問題です。
情シスはどうすべきか
個別のチェックリストを長々と並べるより、公的機関の指針に沿って運用の型を作るほうが結局は早いと考えます。今回の件で押さえるべき順序は次のとおりです。
- 棚卸し：ポート10000の待受と
/etc/webmin/の有無で該当サーバを洗い出す。Virtualminを使っている環境は該当と考えて確認する - 更新：2.653以降へ。版数解釈で悩まない
- 露出確認：管理画面をインターネットに直接晒していないか。晒す必要がなければ閉じる
- ユーザー整理：Webminユーザーを管理者のみに絞れているか。今回の脆弱性の多くは「信頼できないWebminユーザー」が前提なので、ここが締まっていれば影響は限定的と判断できる
そのうえで、資産管理とパッチ運用の型づくりにはIPA「中小企業の情報セキュリティ対策ガイドライン」が参考になります。組織規模を問わず資産の把握から対策を積み上げる構成で、「入っているか分からない」を潰す設計思想がそのまま使えます。脆弱性情報を継続的に拾う導線としてはJPCERT/CCの注意喚起とWeekly Reportの定期確認をおすすめします。
地味ですが、「サーバに何を入れたか記録して引き継ぐ」という運用習慣こそが本質的な対策です。技術的な作り込みより、構築ベンダーとの取り決めや引き継ぎ書式の見直しのほうが効くケースは多いはずです。
まとめ
- 2.641では不十分。報道で「最新版2.641で修正」と伝わりましたが、その後の2.652でSSRF、2.653でACL迂回が修正されています。更新先は2.653以降です
- CVE番号のない修正に重いものがある。2.652のSSRFはクラウドのIAM認証情報URLへ到達しうるとベンダー自身が説明しており、CVE一覧だけを見ていると見落とします
- まず「入っているか」を確認する。Virtualminの土台として、あるいは前任者の導入分として動いていることがあります。ポート10000と
/etc/webmin/が入口です
出典
- Webmin公式 Security（脆弱性一覧・影響バージョン・回避策）
- Webmin リリース履歴（GitHub）
- NVD – CVE-2026-56020 / CVE-2026-56022 / CVE-2026-42210 / CVE-2026-22678
- Virtualmin公式ドキュメント（VirtualminとWebminの関係）
- Webmin公式 Download（既定ポート・導入方法）
- Security NEXT「Webmin」に認証バイパスなど複数の脆弱性 – 最新版で修正
- IPA 中小企業の情報セキュリティ対策ガイドライン
本記事は2026年8月17日時点の公開情報に基づいています。CVE-2026-56020の影響範囲・修正版については情報源間で記述が食い違っており、本記事では断定を避けて双方を併記しました。運用判断の際は必ずベンダー公式の最新情報をご確認ください。
