В cPanel и WHM устранили уязвимость с выполнением кода от имени root
Ошибка в функциях припаркованных и дополнительных доменов может позволить владельцу аутентифицированной учётной записи создать произвольные файлы на сервере и получить полный контроль над ним. Исправления уже выпущены для поддерживаемых веток cPanel & WHM.
cPanel выпустила обновления для критической уязвимости CVE-2026-65643 в cPanel & WebHost Manager (WHM). По данным уведомления компании, проблема связана с функциями припаркованных и дополнительных доменов: аутентифицированный пользователь, которому разрешено добавлять такие домены, способен создавать на сервере произвольные файлы.
Успешная атака приводит к выполнению кода от имени root, то есть даёт атакующему полный контроль над сервером. Это особенно существенно для серверов с несколькими клиентами хостинга, где одна учётная запись может не иметь административных прав.
Исправление вошло в версии 11.110.0.141, 11.134.0.53, 11.136.0.37, 11.138.0.2 и 11.138.1.7 для WP Squared — либо более новые сборки соответствующих веток. Серверы с ежедневными автоматическими обновлениями должны получить патч автоматически. Администраторы также могут принудительно запустить обновление командой /scripts/upcp --force от имени root или установить его через раздел WHM для обновления cPanel.
Для систем на версиях, срок поддержки которых истёк, потребуется сначала перейти на поддерживаемую ветку: иначе исправление недоступно. После установки обновления версию можно проверить в настройках обновлений сервера в WHM.
Компания не сообщала об эксплуатации CVE-2026-65643 в реальных атаках. На 28 августа запись об этой уязвимости ещё не была опубликована в базе CVE Program, а в каталоге CISA Known Exploited Vulnerabilities её также не было. В уведомлении cPanel не приведены ни временные меры защиты до обновления, ни способ проверить, не был ли сервер скомпрометирован ранее.