В cPanel исправили уязвимость с выполнением кода от имени root

cPanel выпустила обновления для CVE-2026-67401 — уязвимости, которая позволяет аутентифицированному пользователю хостинга выполнить код с правами root. Это означает возможность выйти за пределы одного аккаунта и получить административный доступ к серверу, на котором размещены другие клиенты.

Как сообщает The Hacker News со ссылкой на бюллетень cPanel, проблема связана с SQL-инъекцией в EmailTrack. Атакующий, располагающий правами, связанными с почтовыми функциями, может создавать на сервере произвольные файлы, а затем использовать это для запуска кода от имени root. В самом бюллетене не уточняется, какая именно функция или привилегия требуется для атаки и каким образом SQL-инъекция приводит к созданию файлов и повышению привилегий.

Уязвимость затрагивает все поддерживаемые версии cPanel и WHM. Исправления включены в сборки 11.110.0.143, 11.134.0.55, 11.136.0.39 и 11.138.0.4, а для WP Squared — в версию 11.138.1.9. Обновить систему можно через WHM в разделе Home / cPanel / Upgrade to Latest Version либо из командной строки: /usr/local/cpanel/scripts/upcp --force. Для серверов, которые нельзя обновить сразу, cPanel не предложила временных мер защиты.

Риск особенно существенен для провайдеров виртуального хостинга. Обычный клиент управляет своим аккаунтом через cPanel, тогда как WHM предоставляет root-доступ ко всей машине. Получив такие права, злоумышленник потенциально может читать данные всех аккаунтов на сервере, менять файлы и базы данных, создавать скрытые учётные записи, устанавливать вредоносное ПО и похищать учётные данные.

На 9 сентября в публичном хранилище CVE ещё не было отдельной записи для CVE-2026-67401, а cPanel не указала оценку серьёзности проблемы. The Hacker News также не обнаружил публичного эксплойта или подтверждённых сообщений об атаках с использованием этой уязвимости; её не было и в опубликованной 8 сентября версии каталога CISA Known Exploited Vulnerabilities. Это, однако, не исключает возможного использования ошибки в атаках.

Это уже не первые уязвимости в cPanel за последние месяцы. В конце июля и в августе компания раскрыла ещё две уязвимости, при которых исходной точкой атаки также мог быть обычный хостинг-аккаунт; одна из августовских ошибок позволяла выполнить код с правами root.