جزئیات آسیب‌پذیری بحرانی cPanel
بر اساس گزارش شرکت cPanel، مهاجم تنها با در اختیار داشتن یک حساب کاربری احراز هویت‌شده و مجوز افزودن دامنه پارک‌شده (Parked Domain) یا افزودن دامنه می‌تواند فایل‌های دلخواه روی سرور ایجاد کند.
آسیب‌پذیری بحرانی cPanel در صورت سوءاستفاده موفق می‌تواند منجر به اجرای کد با سطح دسترسی Root شود؛ به این معنا که مهاجم در نهایت قادر خواهد بود کنترل کامل سرور را در اختیار بگیرد.
برای رفع این ضعف امنیتی، نسخه‌های زیر منتشر شده‌اند:
- 110.0.141 یا بالاتر
- 134.0.53 یا بالاتر
- 136.0.37 یا بالاتر
- 138.0.2 یا بالاتر
- 138.1.7 یا بالاتر (WP Squared)
WP Squared نیز در فهرست نسخه‌های پچ شده قرار دارد؛ اما DNSOnly در این فهرست ذکر نشده است.
شرکت cPanel در ماه جولای نیز سه ضعف امنیتی جداگانه را برطرف کرده بود. در اطلاعیه‌های امنیتی (Security Advisories) منتشرشده در آن زمان، شاخه‌های 11.118 و 11.126 نیز به‌عنوان نسخه‌های پچ شده معرفی شده بودند. با این حال، فهرست نسخه‌های پچ شده این آسیب‌پذیری که در 27 آگوست منتشر شد، تنها شاخه‌های 110، 134، 136 و 138 را در بر می‌گیرد و وضعیت پشتیبانی از شاخه‌های 11.118 و 11.126 همچنان مشخص نیست.
در همین رابطه، cPanel در اطلاعیه امنیتی ماه جولای درباره ضعف امنیتی Exim اعلام کرده بود که این ضعف ممکن است امکان افزایش سطح دسترسی (Privilege Escalation) از طریق حساب‌های فرعی کاربر تیمی (Team User Sub-accounts) را فراهم کند. با این حال، اطلاعیه 27 آگوست درباره وضعیت حساب‌های فرعی کاربر تیمی که مجوز افزودن دامنه پارک‌شده و افزودن دامنه را دارند، توضیحی ارائه نمی‌دهد.
نحوه دریافت و نصب پچ امنیتی
طبق اطلاعیه cPanel که در 27 آگوست 2026 منتشر شده است، سرورهایی که قابلیت به‌روزرسانی خودکار روزانه روی آنها فعال باشد، نسخه پچ شده را به‌صورت خودکار دریافت می‌کنند.
مدیران سرور برای نصب فوری این اصلاحیه می‌توانند با حساب Root وارد سرور شوند و دستور زیر را اجرا کنند:
/scripts/upcp –force
همچنین، مدیران سرور می‌توانند این به‌روزرسانی را از طریق WHM نصب کنند. برای این کار، از صفحه اصلی (Home) وارد بخش cPanel شوید و گزینه ارتقا به آخرین نسخه (Upgrade to Latest Version) را انتخاب کنید.
پس از نصب به‌روزرسانی، می‌توانید شماره بیلد (Build) نسخه نصب‌شده را از بخش تنظیمات به‌روزرسانی (Update Preferences) در مسیر پیکربندی سرور (Server Configuration) بررسی کنید.
سرورهایی که از نسخه‌های خارج از چرخه پشتیبانی (EOL) استفاده می‌کنند، برای دریافت این اصلاحیه باید ابتدا به یک نسخه پشتیبانی‌شده ارتقا یابند.
در اطلاعیه منتشرشده برای مشتریان، امتیازدهی این آسیب‌پذیری بحرانی cPanel بر اساس معیار CVSS اعلام نشده است. رسانه The Hacker News نیز در 28 آگوست 2026 با بررسی مخزن سوابق برنامه CVE تأیید کرد که در آن زمان هنوز رکوردی برای CVE-2026-65643 منتشر نشده بود. در مقابل، رکوردهای رسمی CVE-2026-58048 و CVE-2026-58047، دو آسیب‌پذیری cPanel که در 31 جولای افشا شده بودند، در زمان بررسی در این مخزن وجود داشتند.
وضعیت سوءاستفاده از آسیب‌پذیری بحرانی cPanel
cPanel تاکنون درباره سوءاستفاده از آسیب‌پذیری CVE-2026-65643 در حملات اظهار نظری نکرده است. همچنین، این آسیب‌پذیری در نسخه KEV منتشرشده در 27 آگوست 2026 توسط آژانس امنیت سایبری و زیرساخت آمریکا (CISA) قرار نداشت. با این حال، KEV پیش‌تر دو آسیب‌پذیری مربوط به یکی از پلاگین‌های cPanel را نیز ثبت کرده بود. تاکنون گزارشی درباره اضافه شدن این آسیب‌پذیری بحرانی cPanel به این فهرست منتشر نشده است.
CISA در 26 می 2026، آسیب‌پذیری CVE-2026-48172 را به فهرست KEV اضافه کرد. این ضعف امنیتی در پلاگین LiteSpeed cPanel از نوع افزایش سطح دسترسی (Privilege Escalation) است و به هر کاربر cPanel اجازه می‌دهد با سوءاستفاده از آن، اسکریپت‌های دلخواه خود را با سطح دسترسی Root اجرا کند.
CISA در 15 ژوئن 2026، آسیب‌پذیری CVE-2026-54420 را نیز به فهرست KEV افزود. این آسیب‌پذیری از نوع دنبال‌کردن لینک نمادین (Symlink Following) است و در همان پلاگین LiteSpeed cPanel وجود دارد. این ضعف امنیتی می‌تواند سرورهای میزبانی اشتراکی (Shared Hosting) را در صورت استفاده از CloudLinux یا CageFS تحت تأثیر قرار دهد؛ البته در شرایطی که کاربر به FTP یا وب شل (Web Shell) دسترسی داشته باشد.
همچنین آسیب‌پذیری CVE-2026-41940 در cPanel نیز در فهرست KEV ثبت شده است. این آسیب‌پذیری از نوع دور زدن احراز هویت است که cPanel آن را در ماه آوریل پچ کرد. همچنین، گزارش‌هایی از سوءاستفاده از این ضعف امنیتی در کمپین‌های باج‌افزاری منتشر شده است.
نبود راهکار موقت و روش تشخیص نفوذ
اطلاعیه cPanel درباره آسیب‌پذیری بحرانی cPanel هیچ راهکار موقت یا کاهش ریسک برای محافظت از سرورها پیش از نصب پچ ارائه نکرده است. همچنین، این شرکت روش مشخصی برای بررسی سرور و تشخیص دسترسی احتمالی مهاجم پیش از نصب نسخه پچ شده معرفی نکرده است.
به همین دلیل، نصب نسخه پچ شده برای جلوگیری از ادامه سوءاستفاده ضروری است، اما به‌روزرسانی به‌تنهایی مشخص نمی‌کند که آیا مهاجم پیش از نصب پچ به سرور دسترسی پیدا کرده است یا خیر. در صورت وجود هرگونه احتمال دسترسی غیرمجاز، مدیران باید وضعیت امنیتی سرور را بررسی کنند و احتمال نفوذ پیش از نصب پچ را نیز در نظر بگیرند.
آسیب‌پذیری Phusion Passenger و نشانه‌های احتمالی نفوذ
cPanel در 14 آگوست 2026 درباره یک آسیب‌پذیری افزایش سطح دسترسی در API مربوط به واچ‌داگ (Watchdog) نرم‌افزار Phusion Passenger اطلاعیه‌ای منتشر کرد. این شرکت در اطلاعیه خود، دستوری برای بررسی لاگ خطای آپاچی و شناسایی نشانه‌های احتمالی سوءاستفاده از این آسیب‌پذیری ارائه داد.
همچنین cPanel اعلام کرد که این آسیب‌پذیری روی نصب‌های پیش‌فرض تأثیری ندارد و فقط سرورهایی را تحت تأثیر قرار می‌دهد که پکیج آسیب‌پذیر Passenger روی آنها نصب شده باشد.
شرکت Plesk در همان روز اطلاعیه مربوط به این آسیب‌پذیری را به‌روزرسانی کرد و یک چک‌لیست پنج‌مرحله‌ای برای بررسی نشانه‌های نفوذ قبلی ارائه داد. نخستین مرحله این چک‌لیست، بررسی فایل زیر برای شناسایی ورودی‌های مشکوک است:
/etc/ld.so.preload
Plesk تأکید کرده است که نصب پچ، آسیب‌پذیری را برطرف می‌کند، اما اقداماتی که مهاجم پیش از نصب پچ انجام داده است، همچنان باقی خواهد ماند. شرکت Phusion، توسعه‌دهنده Passenger، نیز در 18 آگوست 2026 نسخه Passenger 6.2.0 را منتشر کرد. این نسخه ضعف موجود در API مربوط به واچ‌داگ را برطرف می‌کند. این آسیب‌پذیری در زمان انتشار، شناسه CVE نداشت.
Phusion اعلام کرده است که این آسیب‌پذیری در یک ارائه‌دهنده سرویس‌های میزبانی اشتراکی مورد سوءاستفاده قرار گرفته است.
