جزئیات سه آسیب‌پذیری cPanel
علاوه بر انتشار نسخه‌های پچ‌شده برای دو آسیب‌پذیری اصلی، یک آسیب‌پذیری سوم با شناسه CVE-2026-68490 نیز در همین سرویس برطرف شده است. این سرویس برای مدیریت تقویم‌ها و اطلاعات مخاطبان هر حساب کاربری استفاده می‌شود. این آسیب‌پذیری به یک کاربر لوکال با دسترسی به سرور اجازه می‌دهد رویدادهای تقویم و اطلاعات مخاطبان سایر حساب‌ها را مشاهده کند، اما امکان تغییر آن‌ها یا دستیابی به سطح دسترسی Root را ندارد.
برای سوءاستفاده از CVE-2026-87899 و اجرای کد با سطح دسترسی Root، تنها داشتن یک حساب کاربری کافی است و به هیچ پیش‌نیاز دیگری نیاز ندارد. در سرورهای اشتراکی که شرکت‌های ارائه‌دهنده سرویس‌های میزبانی حساب‌های کاربری را به‌صورت عمومی در اختیار مشتریان قرار می‌دهند، هر مشتری می‌تواند از این آسیب‌پذیری سوءاستفاده کند. حتی در اختیار داشتن اطلاعات ورود یک مشتری نیز برای سوءاستفاده از این آسیب‌پذیری کافی است.
شناسه آسیب‌پذیری (CVE) | کامپوننت آسیب‌پذیر | تأثیر آسیب‌پذیری | نسخه‌های تحت تأثیر | نسخه‌های پچ‌شده |
CVE-2026-87899 | CalDAV و CardDAV | امکان اجرای کد با سطح دسترسی Root | نسخه 120 و بالاتر | 11.134.0.57 و بالاتر |
CVE-2026-87900 | WP Toolkit | امکان تغییر پایگاه داده‌های سایر حساب‌ها | نسخه 6.11.2-10794 و نسخه‌های پیش از آن | WP Toolkit 6.11.3 و بالاتر |
CVE-2026-68490 | CalDAV و CardDAV | امکان مشاهده رویدادهای تقویم و اطلاعات مخاطبان سایر حساب‌ها | نسخه 120 و بالاتر | 11.134.0.57 و بالاتر |
جزئیات آسیب‌پذیری WP Toolkit
آسیب‌پذیری CVE-2026-87900 به نحوه پردازش دستورهای مربوط به ایجاد پایگاه داده در WP Toolkit مربوط می‌شود. این آسیب‌پذیری می‌تواند به یک کاربر دارای حساب اجازه دهد در پایگاه داده‌های سایر حساب‌ها تغییراتی ایجاد کند. با این حال، اطلاعات منتشرشده درباره دامنه این تغییرات محدود است. جزئیات مربوط به این آسیب‌پذیری نشان نمی‌دهد که کاربر دقیقاً چه نوع تغییراتی می‌تواند در پایگاه داده‌های سایر حساب‌ها ایجاد کند، آیا امکان خواندن اطلاعات این حساب‌ها نیز وجود دارد و آیا دسترسی مستقیم به WP Toolkit برای سوءاستفاده از آسیب‌پذیری ضروری است یا خیر.
WP Toolkit برای پلسک (Plesk) نیز عرضه می‌شود؛ پلسک یکی دیگر از کنترل‌پنل‌های میزبانی وب (Web Hosting Control Panel) شرکت WebPros است. با این حال، cPanel درباره تأثیر این آسیب‌پذیری بر نسخه پلسک اظهارنظری نکرده است.
وضعیت سوءاستفاده از آسیب‌پذیری‌ها
هیچ‌یک از سه هشدار امنیتی منتشرشده، به سوءاستفاده از این آسیب‌پذیری‌ها اشاره نکرده است و هیچ راهکاری نیز برای بررسی حمله احتمالی به سرور پیش از نصب پچ ارائه نمی‌دهد. همچنین، تا 23 سپتامبر، هیچ‌یک از این آسیب‌پذیری‌ها در فهرست KEV آژانس امنیت سایبری و زیرساخت آمریکا (CISA) قرار نداشتند.
cPanel هر سه آسیب‌پذیری را به علی مصطفی، پژوهشگری با نام مستعار rz1027، نسبت داده است. بر اساس هشدارهای امنیتی شرکت‌ها و سوابق CVE، این پژوهشگر از 27 آگوست تاکنون دست‌کم هفت آسیب‌پذیری در cPanel و پلسک (Plesk) شناسایی کرده است که سه مورد از آن‌ها با همکاری پژوهشگری با نام abed1526 شناسایی و گزارش شده‌اند.
در میان این موارد، آسیب‌پذیری دیگری در قابلیت EmailTrack قرار دارد که در 8 سپتامبر گزارش شد و به حسابی با مجوزهای ایمیل اجازه می‌داد کد را با سطح دسترسی Root اجرا کند.
پلسک نیز در 10 سپتامبر دو آسیب‌پذیری دیگر را برطرف کرد. یکی از این آسیب‌پذیری‌ها به فرآیند بازیابی فایل‌ها در بخش مدیریت پشتیبان‌گیری (Backup Manager) و دیگری به نحوه پردازش هدرهای پشتیبان (Backup Headers) مربوط می‌شد. طبق اعلام پلسک ، سوءاستفاده از هر یک از این آسیب‌پذیری‌ها می‌توانست برای مشتری امکان کنترل کامل سرور را فراهم کند.
نحوه به‌روزرسانی cPanel
دستورالعمل‌های جداگانه‌ای برای به‌روزرسانی cPanel & WHM و WP Toolkit ارائه شده است. WP Toolkit به‌عنوان یک پکیج مستقل با نام wp-toolkit-cpanel نصب می‌شود و فرآیند به‌روزرسانی جداگانه‌ای دارد.
- CVE-2026-87899 و CVE-2026-68490: برای رفع این آسیب‌پذیری‌ها، در محیط WHM ابتدا به صفحه اصلی (Home)، سپس به بخش cPanel و در نهایت به گزینه به‌روزرسانی به آخرین نسخه (Upgrade to Latest Version) مراجعه کنید. همچنین می‌توان دستور /usr/local/cpanel/scripts/upcp –forceرا با دسترسی Root اجرا کرد. این به‌روزرسانی علاوه بر رفع آسیب‌پذیری‌ها، مجوزهای مربوط به تقویم و مخاطبان حساب‌های موجود را نیز اصلاح می‌کند.
- CVE-2026-87900: برای رفع این آسیب‌پذیری، WP Toolkitرا به نسخه 6.11.3 یا بالاتر به‌روزرسانی کنید. برای انجام این کار، دستور bash <(curl https://wp-toolkit.plesk.com/cPanel/installer.sh || wget -O – https://wp-toolkit.plesk.com/cPanel/installer.sh) –version 6.11.3را اجرا کنید.
آسیب‌پذیری‌های مربوط به تقویم، نسخه 120 و نسخه‌های بعد از آن را تحت تأثیر قرار می‌دهند. با این حال، بیلدهای پچ‌شده فقط برای شاخه‌های انتشار 134، 136 و 138 و همچنین WP Squared اعلام شده‌اند.
برای سرورهایی که در حال حاضر امکان به‌روزرسانی آن‌ها وجود ندارد، هیچ راهکار موقتی (Temporary Workaround) ارائه نشده است. درباره WP Toolkit نیز تنها روش به‌روزرسانی دستی اعلام شده و مشخص نیست که قابلیت به‌روزرسانی خودکار، نسخه 6.11.3 را نیز نصب می‌کند یا خیر.
