cPanel отстрани три новооткрити уязвимости в сигурността, които застрашават изолацията между потребителите (клиентите) на сървъри за споделен хостинг, включително дефект в правата за достъп, който разкрива календарите и контактите на останалите потребители.

Обновяването за сигурност от 22 септември 2026 г. коригира уязвимостта CVE-2026-68490, заедно с грешка за ескалация на привилегии до root и уязвимост в базата данни за различни профили в WP Toolkit, което прави незабавните актуализации от съществено значение за хостинг доставчиците и системните администратори.

Уязвимост в cPanel

Регистрирана като CVE-2026-68490, основната уязвимост произтича от неправилни права за достъп във функционалността CalDAV и CardDAV на cPanel. Локален потребител с достъп до същия сървър би могъл да се възползва от слабостта, за да чете календарни събития и информация за контакти, принадлежащи на други cPanel профили.

Недостатъкът нарушава ключова граница на сигурността в среди със споделен хостинг, където клиентите очакват данните на техните профили да останат изолирани.

Експлоатацията е ограничена само до четене на разкритите записи: атакуващият не може да променя календари или адресни книги чрез този пропуск, а успешната злоупотреба не осигурява root достъп.

Въпреки това изтеклите срещи и данни за контакт могат да разкрият имена, имейл адреси, бизнес отношения, графици на срещи или друга информация, полезна за фишинг и атаки чрез социално инженерство. Изследователят по киберсигурност Али Мустафа, известен като rz1027, отговорно докладва проблема на cPanel.

За доставчиците на споделен хостинг дори достъпът само за четене е значим, тъй като един легитимен клиент би могъл да събира поверителна информация от несвързани потребители без разрешение.

Според бюлетина за сигурност, публикуван от cPanel, CVE-2026-68490 засяга версии 120 и по-нови на cPanel и WHM. Коригираните версии са 11.134.0.57, 11.136.0.41, 11.138.0.8 и WP Squared 11.138.1.11 или по-нови.

Прилагането на актуализацията коригира правата за достъп за новосъздадени хранилища на календари и адресни книги, като същевременно отстранява небезопасните разрешения при съществуващите профили.

Също така това издание отстранява CVE-2026-87899 – значително по-опасна уязвимост в CalDAV и CardDAV. Всеки автентифициран притежател на cPanel акаунт би могъл да ескалира привилегиите си

и да изпълни код като root, потенциално получавайки пълен контрол над основния сървър. Тя засяга версия 120 и по-нови и се решава от същите версии на cPanel, WHM и WP Squared, посочени за CVE-2026-68490.

CVE-2026-87900 засяга обработката на команди за създаване на бази данни в WP Toolkit. Влязъл в системата cPanel потребител би могъл да променя бази данни, притежавани от други профили, създавайки сериозен риск за целостта на данните между различните клиенти при WordPress хостинг.

Версиите на WP Toolkit 6.11.2-10794 и по-стари са уязвими; администраторите трябва да надградят отделно пакетирания компонент wp-toolkit-cpanel до версия 6.11.3 или по-нова.

Администраторите трябва да актуализират cPanel и WHM през „Home / cPanel / Upgrade to Latest Version“ в WHM или да изпълнят /usr/local/cpanel/scripts/upcp –force като root. WP Toolkit изисква собствено надграждане до 6.11.3 или по-нова версия.

Екипите трябва да потвърдят инсталираните версии след внедряването и да проверят активността на акаунтите, базите данни, календарите и адресните книги за необясним достъп между отделните потребители.

Доставчиците трябва да приоритезират публичните системи с множество потребители и да потвърдят, че политиките за автоматично обновяване не са пропуснали отделни възли.

Разкритията продължават забележителна серия от дефекти в екосистемата на cPanel. Скорошното отражение в Cyber Security News включва CVE-2026-65638, проблем с неавтентифицирано инжектиране на команди в незадължителната услуга MESSENGER на ConfigServer Security & Firewall; CVE-2026-67401, EmailTrack SQL инжекция, водеща до изпълнение на код като root; и CVE-2026-65643, дефект при паркирането на домейни, позволяващ на автентифицирани потребители да създават произволни файлове и да получат root контрол.

Отделна уязвимост в LiteSpeed Enterprise, засягаща версии преди 6.3.7, би могла да позволи на потребители на споделен хостинг с ниски привилегии да заобиколят изолираната среда между клиентите и да получат root достъп.

Разгледаните уязвимости са CVE-2026-68490, CVE-2026-87899, CVE-2026-87900, CVE-2026-65638, CVE-2026-67401, CVE-2026-65643, както и дефектът в LiteSpeed Enterprise, коригиран във версия 6.3.7.

Бързото инсталиране на корекции за сигурност е от решаващо значение, тъй като един-единствен компрометиран хостинг профил може да разкрие съседните клиенти или, в най-тежките случаи, целия сървър.