Критична уязвимост в ConfigServer Security & Firewall (CSF), използван на cPanel и WHM сървъри, може да позволи на неавтентифициран отдалечен атакуващ да изпълнява произволни команди чрез услугата MESSENGER на софтуера. Проблемът се проследява като CVE-2026-65638 и засяга CSF версии от 14.00 до 16.29.
Версия 16.30 на CSF и по-нови коригират уязвимостта. Администраторите, които управляват засегнати инсталации, трябва незабавно да обновят плъгина ConfigServer Firewall, особено когато функцията MESSENGER е била ръчно активирана.
Уязвимостта се съдържа в услугата MESSENGER на CSF – функция, предназначена да показва съобщения на блокирани посетители. Според информацията за сигурност, отдалечен атакуващ не се нуждае от автентификация, за да експлоатира засегнатата услуга.
Успешното експлоатиране може да доведе до изпълнение на произволни команди под профила на услугата CSF. Този профил е без привилегии, което означава, че уязвимостта не предоставя автоматично достъп на ниво root.
Въпреки това, изпълнението на команди върху уеб сървър с достъп до интернет все пак може да разкрие чувствителни файлове, да улесни разузнаване, да осигури персистентност, да промени хоствано съдържание или да предостави първоначален мост за последващи атаки.
cPanel ConfigServer Security & Firewall Vulnerability
Уязвимата функционалност не е активна по подразбиране. Атакуващ може да достигне до засегнатия код само когато са изпълнени и двете условия:
- Услугата MESSENGER е активирана в CSF.
- За услугата е конфигуриран таен ключ за reCAPTCHA.
Нито една от двете настройки не е активирана по подразбиране, което намалява излагането на риск за стандартни CSF внедрявания. Въпреки това среди, които са активирали MESSENGER за управление на блокиран трафик или за показване на персонализирани съобщения на посетителите, трябва да третират проблема като спешен.
| Product | Affected versions | Patched versions |
|---|---|---|
| ConfigServer Security & Firewall | 14.00 through 16.29 | 16.30 and later |
CSF се внедрява широко в среди с cPanel и WHM за осигуряване на управление на защитна стена, откриване на неуспешни опити за вход, блокиране на IP адреси и свързани контроли за сигурност на сървъра.
Тъй като често работи върху обществена хостинг инфраструктура, администраторите трябва да проверят дали уязвимата услуга е активирана, дори ако смятат, че тяхната инсталация използва настройките по подразбиране.
cPanel препоръчва обновяване на плъгина ConfigServer Firewall до най-новата налична версия. На поддържаните системи CentOS 7, CloudLinux 7, AlmaLinux, CloudLinux 8, CloudLinux 9, CloudLinux 10 и Ubuntu администраторите могат да обновят пакетите и да стартират процеса по обновяване на cPanel:
След обновяването администраторите трябва да потвърдят, че е инсталирана версия 16.30 на CSF или по-нова. Те трябва също така да прегледат конфигурационните настройки на CSF, за да се уверят, че ненужните компоненти с достъп до интернет остават деактивирани.
Организациите, които не могат да обновят незабавно, могат да намалят риска чрез изключване на услугата MESSENGER. Администраторите трябва да се свържат със сървъра като root през SSH или WHM Терминал и да редактират конфигурационния файл на CSF:
nano /etc/csf/csf.conf
Задайте следната опция: MESSENGER = 0
След това запазете конфигурацията и рестартирайте CSF и услугата Login Failure Daemon:
systemctl restart csf lfd
Деактивирането на MESSENGER премахва уязвимия вектор за атака, но трябва да се счита за временна мярка. Инсталирането на CSF 16.30 или по-нова версия остава препоръчителното отстраняване на уязвимостта CVE-2026-65638.