Společnost cPanel opravila chybu, která podle jejího vyjádření umožní jedinému hostingovému účtu převzít kontrolu nad celým serverem. Přihlášený držitel účtu s právy souvisejícími s poštou dokáže přes funkci EmailTrack vytvořit na serveru libovolné soubory a odtud spustit kód pod uživatelem root. Poradenství cPanel zveřejnil 8. září 2026 a uvádí, že zasažené jsou všechny podporované verze cPanelu i WHM.
Zranitelnost je vedena jako CVE‑2026‑67401. Poradenství ji popisuje jako SQL injection ve funkci EmailTrack, neuvádí však, jakou funkci či oprávnění účet potřebuje. cPanel je software pro správu webhostingu: zákazník spravuje jeden hostingový účet přes cPanel, zatímco poskytovatel spravuje celý stroj přes WHM jako root. Získání kontroly nad panelem se nerovná průniku do webu jednoho zákazníka – WHM dává útočníkovi administrátorský přístup root k celému serveru. S ním lze číst každý hostingový účet, měnit soubory a databáze, zakládat skryté účty, instalovat malware, krást přihlašovací údaje a pronikat do zákaznických sítí.
Opravené verze a chybějící dočasná opatření
cPanel vyjmenoval opravené sestavení pro jednotlivé vývojové řady: 11.110.0.143 pro řadu 11.110, 11.134.0.55 pro 11.134, 11.136.0.39 pro 11.136, 11.138.0.4 pro 11.138 a 11.138.1.9 pro WP Squared. Server lze aktualizovat z WHM v nabídce Home / cPanel / Upgrade to Latest Version, nebo z příkazové řádky po přihlášení jako root příkazem /usr/local/cpanel/scripts/upcp ‑‑force. Poradenství přitom nevysvětluje, jak SQL injection vede k vytváření souborů a následně k přístupu root, ani nenabízí žádné dočasné opatření pro servery, které nemohou aktualizovat okamžitě – na rozdíl od červencového poradenství k jiné databázové chybě, kde bylo administrátorům řečeno, že mohou dočasně odebrat uživatelům funkci MySQL.
Poradenství neuvádí žádné skóre závažnosti. Nedávné zranitelnosti cPanelu jsou přidělovány přes platformu HackerOne a skóre se objevují spíše v záznamu CVE než v poradenství. Když redakce The Hacker News 9. září ověřovala úložiště programu CVE, žádný záznam pro CVE‑2026‑67401 ještě nebyl zveřejněn. Při vyhledávání téhož dne se rovněž neobjevil žádný veřejný exploit ani zpráva o zneužití a zranitelnost chybí i v katalogu CISA. Ani jedno však zneužití nevylučuje. cPanel za nahlášení připisuje zásluhy Alimu Mustafovi (rz1027) a účtu abed1526. Dvě další zranitelnosti cPanelu odhalené od konce července rovněž vycházejí z běžného hostingového účtu a jedna z nich, popsaná 27. srpna v parkování domén, končila stejně jako tato — spuštěním kódu jako root.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
