Нова уязвимост в cPanel позволява на хостинг акаунт с права за поща да изпълнява код като root

cPanel отстрани уязвимост, която според компанията позволява на един хостинг акаунт да поеме контрола върху целия сървър. Удостоверен потребител с права, свързани с електронната поща, може да създава файлове по свой избор на сървъра чрез EmailTrack и оттам да изпълнява код като потребителя root.

cPanel публикува бюлетина за сигурност на 8 септември и съобщава, че са засегнати всички поддържани версии на cPanel и WHM.

Уязвимостта се проследява като CVE-2026-67401. Бюлетинът на cPanel я определя като SQL инжекция в EmailTrack, но не посочва коя точно функция или право на cPanel са необходими на акаунта. Документацията за разработчици на cPanel описва модул EmailTrack, който проследява статистика за електронната поща, но в бюлетина не се уточнява дали това е засегнатият код.

cPanel е софтуер за контролен панел за уеб хостинг. Клиентът управлява един хостинг акаунт чрез cPanel, докато доставчикът управлява цялата машина чрез WHM като root потребител.

През април киберпрестъпници се възползваха от друга уязвимост в cPanel. Превземането на панела не е същото като пробиването в уебсайта на един клиент, заяви тогава компанията за сигурност Hadrian, тъй като WHM дава на атакуващия root администраторски достъп до сървъра.

Атакуващ с такъв достъп може да чете всеки хостинг акаунт на машината, да променя файлове и бази данни, да създава скрити акаунти, да инсталира зловреден код, да краде идентификационни данни и да се придвижва в мрежите на клиентите.

От cPanel посочиха следните коригирани версии:

Сървърът може да бъде обновен от WHM в менюто Home / cPanel / Upgrade to Latest Version. Чрез командния ред инструкциите на cPanel са да се влезе като root и да се изпълни /usr/local/cpanel/scripts/upcp --force.

Бюлетинът не обяснява как проблем с SQL инжекция води до създаване на файлове и след това до root достъп.

Бюлетинът не предлага и временни мерки за сървъри, които не могат да бъдат обновени веднага. cPanel предостави такава стъпка в бюлетина си от 30 юли за уязвимост в база данни, където администраторите, които не можеха да надградят системата, бяха съветвани временно да премахнат функцията MySQL за потребителите на cPanel.

Списъкът с коригирани версии обхваща линиите 110, 134, 136 и 138. cPanel коригира линиите 11.118 и 11.126 в бюлетините си от юли, но оттогава не ги е споменавала и не е посочила дали те все още се поддържат.

За уязвимостта от август записът в CVE включва всяка версия от 11.112.0.0 до, но без да включва, 11.134.0.53 в засегнатия диапазон и не посочва коригирана версия в линии 118 или 126.

cPanel също така не уточнява дали инсталирането на коригираната версия помага на сървър, който е бил атаката преди обновлението, нито как администраторът може да провери това.

Бюлетинът не съдържа оценка за сериозност. Последните CVE записи за cPanel се присвояват чрез HackerOne, а оценките се появяват в CVE регистъра, вместо в самия бюлетин.

Записът за уязвимостта от август беше публикуван на 1 септември, пет дни след бюлетина. Той оценява тази уязвимост с 8.7 от 10 по скалата CVSS, което показва висока степен на сериозност. Все още нямаше публикуван запис за CVE-2026-67401, когато The Hacker News провери регистъра на програмата CVE на 9 септември.

При търсенията на 9 септември не бяха открити публично достъпен код за експлоатация или съобщения за активна атака, а CVE-2026-67401 липсва в каталога Known Exploited Vulnerabilities на CISA във версията от 8 септември.

Нито една от двете проверки не изключва възможността за атаки. Априлската уязвимост, която представляваше заобикаляне на автентикацията без нужда от акаунт, присъства в същия каталог с известна употреба в кампании с откупен софтуер (ransomware).

Две други уязвимости в cPanel, разкрити от края на юли насам, също започват от обикновен хостинг акаунт. Бюлетин от 30 юли обхвана проблем в база данни, който може да позволи на акаунт с достъп до функцията за бази данни да изпълнява команди с пълни администраторски права. На 27 август cPanel описа уязвимост при паркиране на домейни, която завършваше по същия начин: изпълнение на код като root.

Репозитории, които се представят като работещи експлоати за тези две уязвимости, бяха достъпни онлайн, когато The Hacker News провери на 9 септември.

cPanel благодари на Али Мустафа (rz1027) и abed1526 за докладването на този проблем. Записът в CVE за август съдържа същото име — Али Мустафа.

Нито бюлетините на cPanel, нито въпросният запис свързват двете уязвимости с един и същ код. Записите ги класифицират различно: eval инжекция за уязвимостта от август и SQL инжекция за тази, според заглавието на самата cPanel.