cPanel съобщи за CVE-2026-67401 — критична уязвимост от тип SQL инжекция в EmailTrack, която би могла да позволи на автентифицирани атакуващи да получат контрол на ниво root над засегнатите сървъри.
cPanel разкри проблема със сигурността на 8 септември 2026 г. Според cPanel, за да експлоатира уязвимостта, атакуващият трябва вече да притежава валиден cPanel акаунт с права, свързани с електронната поща.
Въпреки че това изискване ограничава неавтентифицираната експлоатация в глобалната мрежа, потенциалното въздействие остава сериозно за доставчици на споделен хостинг, управлявани сървъри и организации с множество cPanel потребители.
CVE-2026-67401 е SQL инжекция във функционалността EmailTrack на cPanel. EmailTrack следи и преглежда активността по доставката на имейли, включително маршрутизирането на съобщенията и информацията за доставка.
Злонамерен автентифициран потребител може да злоупотреби с уязвимата функционалност, за да създава произволни файлове на базовия сървър. Създаването на произволни файлове е особено опасно в хостинг среда, тъй като може да позволи на атакуващите да поставят контролирано съдържание в чувствителни локации.
Уязвимост в cPanel
От cPanel заявиха, че успешната експлоатация може да доведе до изпълнение на код като потребител root. Достъпът от тип root осигурява неограничен контрол над операционната система, позволявайки на атакуващите да достъпват хоствани уебсайтове, бази данни, имейл акаунти, резервни копия (backups), конфигурационни файлове и идентификационни данни, съхранявани на сървъра.
Атакуващ с достъп на ниво root би могъл също да инсталира механизми за персистентност, да разгръща зловреден код, да променя съдържанието на уебсайтове, да краде клиентски данни, да изключва средства за сигурност или да използва компрометирания сървър за стартиране на последващи атаки.
В среди за споделен хостинг с множество потребители (multi-tenant), компрометирането на един привилегирован cPanel акаунт може да постави в риск останалите клиенти, хоствани на същия сървър.
Изследователят по сигурността Ali Mustafa, известен още като (nd abe)1526, е съобщил за уязвимостта. Тя засяга всички поддържани версии на cPanel/WHM преди следните коригирани версии:
| Издание на cPanel/WHM | Коригирана версия |
|---|---|
| cPanel & WHM 11.110 | 11.110.0.143 |
| cPanel & WHM 11.134 | 11.134.0.55 |
| cPanel & WHM 11.136 | 11.136.0.39 |
| cPanel & WHM 11.138 | 11.138.0.4 |
| Издание WP2 | 11.138.1.9 |
Сървърните администратори трябва незабавно да проверят инсталираната версия на cPanel/WHM и да актуализират към коригирано издание. Организациите, използващи управляван хостинг, също трябва да потвърдят със своя доставчик, че актуализацията е приложена на всички засегнати системи.
Основната мярка за ограничаване на риска е обновяването на cPanel/WHM до най-новата налична коригирана версия. Администраторите не трябва да разчитат единствено на ограничаването на публичния достъп, тъй като експлоатацията изисква легитимен автентифициран акаунт, а не анонимен достъп.
Екипите по сигурност трябва да прегледат cPanel акаунтите с разрешения, свързани с имейл, и да премахнат ненужните привилегии. Включете силни пароли и многофакторна автентификация за акаунти, които може да са били изложени на риск или вече не са необходими.
Администраторите трябва също така да извършат проверка за съмнителни файлове, неочаквани промени в уеб директориите, модифицирани конфигурационни файлове, необичайни процеси на ниво root и необясними изходящи мрежови връзки. Прегледът на дневниците (logs) на cPanel, уеб сървъра, автентификацията и системата може да помогне за идентифициране на опити за експлоатация.