Η cPanel κυκλοφόρησε κρίσιμες ενημερώσεις ασφαλείας για τρεις νέες ευπάθειες που εντοπίστηκαν στα συστήματα cPanel και Web Host Manager (WHM). Οι ευπάθειες αυτές μπορούν να χρησιμοποιηθούν από επιτιθέμενους για κλιμάκωση προνομίων, εκτέλεση κώδικα και επιθέσεις denial-of-service. Η σημασία αυτών των διορθώσεων είναι κρίσιμη, καθώς τα συστήματα cPanel χρησιμοποιούνται από εκατομμύρια ιστότοπους παγκοσμίως, συμπεριλαμβανομένων τραπεζικών και υγειονομικών οργανισμών.
Οι τρεις νέες ευπάθειες που αντιμετωπίστηκαν είναι:
- CVE-2026-29201 με βαθμολογία CVSS 4.3: Πρόκειται για “insufficient input validation” στο feature file name στο “feature::LOADFEATUREFILE” adminbin call . Αυτή η ευπάθεια μπορεί να οδηγήσει σε αυθαίρετη ανάγνωση αρχείων από το σύστημα, επιτρέποντας σε κακόβουλους χρήστες να αποκτήσουν πρόσβαση σε ευαίσθητα δεδομένα διαμόρφωσης.
- CVE-2026-29202 με βαθμολογία CVSS 8.8: Προκύπτει από “insufficient input validation” του “plugin” parameter στο “create_user API” call, γεγονός που μπορεί να επιτρέψει την εκτέλεση κώδικα Perl εκ μέρους του ήδη πιστοποιημένου account system user. Αυτή η ευπάθεια είναι ιδιαίτερα επικίνδυνη καθώς μπορεί να οδηγήσει σε πλήρη παραβίαση του συστήματος hosting.
- CVE-2026-29203 με βαθμολογία CVSS 8.8: Αφορά μη ασφαλές symlink handling που επιτρέπει σε χρήστη να τροποποιήσει τα δικαιώματα πρόσβασης αυθαίρετου αρχείου, χρησιμοποιώντας την εντολή chmod. Αυτό μπορεί να οδηγήσει σε denial-of-service ή ακόμη και σε κλιμάκωση προνομίων στο σύστημα. Η ευπάθεια αυτή είναι ιδιαίτερα προβληματική σε περιβάλλοντα shared hosting όπου πολλαπλοί χρήστες μοιράζονται τους ίδιους πόρους συστήματος.
Δείτε επίσης: CISA: Ευπάθεια cPanel & WΗM στον Κατάλογο KEV
cPanel: Νέες εκδόσεις και διορθώσεις
Οι ευπάθειες έχουν διορθωθεί στις ακόλουθες εκδόσεις cPanel και WHM:
- 11.136.0.9 και νεότερες
- 11.134.0.25 και νεότερες
- 11.132.0.31 και νεότερες
- 11.130.0.22 και νεότερες
- 11.126.0.58 και νεότερες
- 11.124.0.37 και νεότερες
- 11.118.0.66 και νεότερες
- 11.110.0.116 και νεότερες
- 11.110.0.117 και νεότερες
- 11.102.0.41 και νεότερες
- 11.94.0.30 και νεότερες
- 11.86.0.43 και νεότερες
Όσον αφορά στο WP Squared:
- 11.136.1.10 και νεότερες
Η cPanel κυκλοφόρησε επίσης την έκδοση 110.0.114 ως άμεση ενημέρωση για πελάτες που εξακολουθούν να χρησιμοποιούν CentOS 6 ή CloudLinux 6. Οι διαχειριστές συστημάτων συνιστάται να ενημερώσουν άμεσα στις τελευταίες εκδόσεις για βέλτιστη προστασία.
Δείτε επίσης: Κρίσιμη ευπάθεια authentication στο cPanel – Update now
Η αποκάλυψη αυτών των ευπαθειών έρχεται λίγες ημέρες μετά από μια άλλη κρίσιμη ευπάθεια στο προϊόν, την CVE-2026-41940, η οποία έχει ήδη εκμεταλλευτεί από threat actors ως zero-day για την παράδοση παραλλαγών του Mirai botnet και ενός στελέχους ransomware που ονομάζεται Sorry. Αυτό υπογραμμίζει την κρισιμότητα της άμεσης εφαρμογής των διορθώσεων ασφαλείας. Η προηγούμενη ευπάθεια, με βαθμολογία CVSS 9.8, επηρέασε όλες τις υποστηριζόμενες εκδόσεις μετά την 11.40 και σχετιζόταν με CRLF injection στις διαδικασίες σύνδεσης και διαχείρισης συνεδριών.
Οι ειδικοί ασφαλείας τονίζουν ότι η παραβίαση του cPanel διαφέρει από τις συνήθεις επιθέσεις σε ιστότοπους, καθώς το WΗM παρέχει πρόσβαση root, που επιτρέπει την ανάγνωση όλων των λογαριασμών, την εγκατάσταση malware, την κλοπή διαπιστευτηρίων και την πλευρική κίνηση σε δίκτυα.
Δείτε επίσης: Chrome: Έκτακτη ενημέρωση διορθώνει 30 ευπάθειες ασφαλείας
Οι διαχειριστές πρέπει να περιορίσουν την πρόσβαση στο API, να παρακολουθούν τα logs του WΗM για ανώμαλη δραστηριότητα και να διενεργούν τακτικούς ελέγχους για την ανίχνευση backdoors ή τροποποιημένων αρχείων μετά από πιθανή εκμετάλλευση.
