Уязвимост в услугата CalDAV и CardDAV на cPanel позволява на всеки с cPanel хостинг акаунт да изпълнява код като root и да поеме „пълен контрол над сървъра“, съобщи компанията на 22 септември.
Втора грешка в плъгина WP Toolkit, използван за инсталиране и управление на уебсайтове с WordPress, позволява на притежател на акаунт да променя бази от данни, принадлежащи на други акаунти.
cPanel публикува коригирани версии и за двете, заедно с корекция за трета уязвимост в същата услуга, която съхранява календарите и контактите на всеки акаунт. Третата уязвимост позволява на локален потребител на сървъра да чете събитията от календара и контактите на други акаунти, но не и да ги променя или да получи root достъп.
cPanel не посочва никакви изисквания за експлоатиране на уязвимостта за root достъп освен притежаването на акаунт. На споделен сървър, където хостинг доставчик продава акаунти на публиката, това означава, че всеки клиент би могъл да я използва. Същото важи и за всеки, който се сдобие с данните за вход на клиент.
Трите уязвимости и версиите, които ги отстраняват:
| Уязвимост | Къде | Какво позволява според cPanel | Засегнати версии | Отстранена в |
|---|---|---|---|---|
| CVE-2026-87899 | CalDAV и CardDAV | Влязъл в системата собственик на акаунт може да изпълнява код като root | cPanel & WHM версия 120 и по-нова | 11.134.0.57 или по-нова 11.136.0.41 или по-нова 11.138.0.8 или по-нова WP Squared 11.138.1.11 или по-нова |
| CVE-2026-87900 | WP Toolkit | Влязъл в системата cPanel потребител може да променя бази от данни в други акаунти | WP Toolkit 6.11.2-10794 и по-стара | WP Toolkit 6.11.3 или по-нова |
| CVE-2026-68490 | CalDAV и CardDAV | Локален потребител може да чете събития от календара и контакти на други акаунти | cPanel & WHM версия 120 и по-нова | 11.134.0.57 или по-нова 11.136.0.41 или по-нова 11.138.0.8 или по-нова WP Squared 11.138.1.11 или по-нова |
Грешката във WP Toolkit е в начина, по който плъгинът обработва команди, създаващи бази от данни. cPanel заявява единствено, че влязъл в системата cPanel потребител би могъл да „извършва промени по бази от данни в други акаунти“.
Не се посочва какви промени са възможни, дали данните от други акаунти също могат да бъдат четени или дали потребителят се нуждае от достъп до самия WP Toolkit.
WP Toolkit се предлага и за Plesk — друг контролен панел за хостинг от същата компания WebPros. cPanel не е посочила дали версията за Plesk е засегната.
Нито един от трите бюлетина за сигурност не споменава за активни атаки и не предоставя начин да се провери дали сървърът е бил атакуван преди актуализирането му. Уязвимостите не присъстваха в каталога Known Exploited Vulnerabilities на CISA, когато The Hacker News направи проверка на 23 септември.
cPanel отдава заслугата за откриването и на трите уязвимости на Али Мустафа (Ali Mustafa), изследовател с псевдоним rz1027. Бюлетините за сигурност на производителя и CVE записите му признават откриването на поне седем уязвимости в cPanel и Plesk, оповестени от 27 август насам, три от които съвместно с изследовател, известен като abed1526.
Те включват и уязвимост от 8 септември във функцията EmailTrack на cPanel, която позволяваше на акаунт с пощенски привилегии да изпълнява код като root, заявиха тогава от cPanel.
Plesk отстрани още две уязвимости на 10 септември — в начина, по който неговият Backup Manager възстановява файлове, и в обработката на заглавните части на резервните копия. От компанията заявиха, че всяка от тях би могла да позволи на клиент да поеме пълен контрол над целия сървър.
Как да актуализирате
cPanel предоставя отделни инструкции за актуализация за cPanel & WHM и за WP Toolkit. WP Toolkit се инсталира като самостоятелен пакет, wp-toolkit-cpanel, със собствена процедура за обновяване.
- cPanel & WHM (CVE-2026-87899 и CVE-2026-68490): следвайте стъпките за актуализация на cPanel. В WHM отидете на Home / cPanel / Upgrade to Latest Version или изпълнете
/usr/local/cpanel/scripts/upcp --forceкато root. Обновяването също така отстранява проблеми с правата за достъп до календара и контактите за съществуващи акаунти. - WP Toolkit (CVE-2026-87900): актуализирайте до версия 6.11.3 или по-нова с командата:
bash <(curl https://wp-toolkit.plesk.com/cPanel/installer.sh || wget -O - https://wp-toolkit.plesk.com/cPanel/installer.sh) --version 6.11.3
Уязвимостите в календара засягат версия 120 и по-нови, но cPanel посочва коригирани версии само за клоновете 134, 136 и 138, както и за WP Squared.
cPanel не предлага временно решение за сървъри, които все още не могат да бъдат актуализирани. За WP Toolkit е предоставена само ръчна команда и не се уточнява дали автоматичните актуализации ще инсталират версия 6.11.3.