جزئیات آسیب‌پذیری cPanel
شرکت cPanel در 8 سپتامبر اطلاعیه امنیتی مربوط به CVE-2026-67401 را منتشر کرد. طبق این اطلاعیه، تمام نسخه‌های پشتیبانی‌شده cPanel و WHM تحت تأثیر این آسیب‌پذیری قرار دارند.
این نرم‌افزار یک کنترل‌پنل میزبانی وب است که مشتری از طریق آن حساب میزبانی خود را مدیریت می‌کند. مدیریت کل سرور نیز از طریق WHM و با دسترسی Root در اختیار ارائه‌دهنده سرویس قرار دارد.
در این اطلاعیه، آسیب‌پذیری موردنظر از نوع تزریق SQL (SQL Injection) در EmailTrack معرفی شده است. با این حال، مشخص نیست مهاجم برای سوءاستفاده از آن به چه قابلیت یا سطح دسترسی در حساب کاربری نیاز دارد. در مستندات توسعه‌دهندگان نیز EmailTrack به‌عنوان ماژولی برای ردیابی اطلاعات آماری ایمیل‌ها معرفی شده است، اما مشخص نیست آیا همین ماژول با بخش آسیب‌پذیر ارتباط دارد یا خیر.
پیامدهای دستیابی مهاجم به سطح دسترسی Root
اهمیت این موضوع با بررسی یک مورد مشابه در ماه آوریل روشن‌تر می‌شود. در آن زمان، مهاجمان از آسیب‌پذیری دیگری در cPanel سوءاستفاده کردند و توانستند کنترل این پنل را به دست آورند.
شرکت امنیت سایبری Hadrian در آن زمان هشدار داد که نفوذ به این کنترل‌پنل می‌تواند پیامدهایی بسیار فراتر از نفوذ به وب‌سایت یک مشتری داشته باشد. دلیل آن این است که دسترسی به WHM، امکان مدیریت کامل سرور با سطح دسترسی Root را برای مهاجم فراهم می‌کند.
این سطح از دسترسی، امکان مشاهده تمام حساب‌های میزبانی روی سرور، تغییر فایل‌ها و پایگاه‌های داده، ایجاد حساب‌های مخفی، نصب بدافزار و سرقت اطلاعات احراز هویت را برای مهاجم فراهم می‌کند. همچنین این دسترسی می‌تواند مسیر نفوذ به سامانه‌های دیگر در شبکه مشتریان را برای مهاجم باز کند.
نسخه‌های دارای بیلد جدید
برای رفع این آسیب‌پذیری، بیلد جدید هر شاخه انتشار در جدول زیر ارائه شده است:
| شاخه انتشار (Release Line) | بیلد اصلاح‌شده(Fixed build) |
| 11.110 | 11.110.0.143 |
| 11.134 | 11.134.0.55 |
| 11.136 | 11.136.0.39 |
| 11.138 | 11.138.0.4 |
| WP Squared | 11.138.1.9 |
برای به‌روزرسانی سرور از طریق WHM، ابتدا وارد صفحه اصلی (Home) شوید، سپس cPanel و بعد گزینه به‌روزرسانی به آخرین نسخه (Upgrade to Latest Version) را انتخاب کنید. اگر قصد دارید به‌روزرسانی را از طریق خط فرمان (Command Line) انجام دهید، ابتدا با حساب Root وارد سیستم شوید و سپس دستور زیر را اجرا کنید:
/usr/local/cpanel/scripts/upcp --forceاطلاعیه امنیتی توضیحی درباره مسیر سوءاستفاده از این آسیب‌پذیری ارائه نمی‌کند و مشخص نیست که تزریق SQL چگونه می‌تواند منجر به ایجاد فایل روی سرور و در ادامه، اجرای کد با دسترسی Root شود.
برای سرورهایی که امکان نصب فوری به‌روزرسانی را ندارند نیز راهکار موقتی ارائه نشده است. در اطلاعیه 30 جولای درباره یک آسیب‌پذیری پایگاه داده، برای ادمین‌هایی که امکان به‌روزرسانی نداشتند، راهکار موقتی در نظر گرفته شده بود. این راهکار شامل غیرفعال کردن موقت قابلیت MySQL برای حساب‌های کاربری بود.
فهرست بیلدهای اصلاح‌شده این آسیب‌پذیری، شاخه‌های انتشار 110، 134، 136 و 138 را پوشش می‌دهد. در اطلاعیه‌های ماه جولای، شاخه‌های 11.118 و 11.126 نیز اصلاح شده بودند، اما از آن زمان تاکنون نامی از این دو شاخه در فهرست بیلدهای جدید منتشر نشده و وضعیت پشتیبانی آن‌ها نیز اعلام نشده است.
در مورد آسیب‌پذیری ماه آگوست، رکورد CVE نسخه‌های 11.112.0.0 تا قبل از 11.134.0.53 را در فهرست نسخه‌های آسیب‌پذیر قرار داده است. با این حال، برای شاخه‌های 118 و 126 هیچ بیلد اصلاح‌شده‌ای در این رکورد ثبت نشده است. همچنین مشخص نشده است که نصب بیلد پچ‌شده روی سروری که پیش از به‌روزرسانی مورد حمله قرار گرفته، برای رفع آثار نفوذ کافی است یا ادمین باید برای شناسایی نشانه‌های حمله اقدامات دیگری انجام دهد.
ابهام درباره شدت و وضعیت سوءاستفاده
در اطلاعیه امنیتی، امتیاز CVSS این آسیب‌پذیری اعلام نشده است. HackerOne امتیازدهی CVEهای اخیر را انجام می‌دهد و نتیجه این ارزیابی در رکورد CVE منتشر می‌شود.
رکورد مربوط به آسیب‌پذیری ماه آگوست در اول سپتامبر، یعنی پنج روز پس از انتشار اطلاعیه آن، منتشر شد. این آسیب‌پذیری در مقیاس CVSS امتیاز 8.7 از 10 را کسب کرده است که سطح ریسک بالای آن را نشان می‌دهد. با این حال، تا 9 سپتامبر هنوز رکوردی برای CVE-2026-67401 در پایگاه داده CVE منتشر نشده بود.
تا این تاریخ نیز هیچ کد اکسپلویت عمومی یا گزارشی درباره سوءاستفاده از این آسیب‌پذیری منتشر نشده بود. همچنین CVE-2026-67401 در نسخه منتشرشده در 8 سپتامبر، در فهرستKEV سازمان CISA قرار نداشت.
البته نبود گزارش عمومی از اکسپلویت یا قرار نداشتن این آسیب‌پذیری در فهرست KEV، احتمال سوءاستفاده از آن را رد نمی‌کند. برای مثال، آسیب‌پذیری ماه آوریل از نوع دور زدن احراز هویت (Authentication Bypass) بود و مهاجم برای سوءاستفاده از آن به حساب کاربری نیاز نداشت. این آسیب‌پذیری اکنون در فهرست CISA قرار گرفته و سوءاستفاده از آن در حملات باج‌افزاری نیز گزارش شده است.
آسیب‌پذیری‌های اخیر cPanel
در ماه‌های اخیر، دو آسیب‌پذیری دیگر در cPanel نیز شناسایی شده‌اند که مهاجم می‌تواند با دسترسی به یک حساب میزبانی معمولی از آن‌ها سوءاستفاده کند و در نهایت به سطح دسترسی بالایی روی سرور برسد.
- در 30 جولای، یک آسیب‌پذیری در قابلیت پایگاه داده شناسایی شد که به حساب‌های دارای دسترسی به این قابلیت اجازه می‌داد دستورات پایگاه داده را با سطح دسترسی کامل مدیریتی اجرا کنند.
- در 27 آگوست، آسیب‌پذیری دیگری در قابلیت پارک دامنه (Domain Parking) شناسایی شد که در نهایت امکان اجرای کد با دسترسی Root را فراهم می‌کرد. این آسیب‌پذیری نیز مانند مورد فعلی، می‌توانست منجر به اجرای کد با بالاترین سطح دسترسی روی سرور شود.
در بررسی‌های انجام‌شده در 9 سپتامبر، اکسپلویت‌های عملیاتی مربوط به این دو آسیب‌پذیری همچنان در چند مخزن آنلاین در دسترس بودند.
cPanel شناسایی و گزارش آسیب‌پذیری CVE-2026-67401 را به Ali Mustafa (rz1027) و abed1526 نسبت داده است. در رکورد CVE مربوط به آسیب‌پذیری ماه آگوست نیز Ali Mustafa به‌عنوان فردی که این آسیب‌پذیری را شناسایی و گزارش کرده، معرفی شده است.
با این حال، هیچ‌یک از اطلاعیه‌های امنیتی یا رکوردهای CVE نشان نمی‌دهد که آسیب‌پذیری CVE-2026-67401 و آسیب‌پذیری ماه آگوست به یک کد مشترک مربوط هستند.
از نظر نوع ضعف امنیتی نیز این دو مورد در دسته‌های متفاوتی قرار می‌گیرند. آسیب‌پذیری ماه آگوست از نوع تزریق Eval است، در حالی که آسیب‌پذیری فعلی از نوع تزریق SQL محسوب می‌شود. این تفاوت در نوع ضعف امنیتی، در عناوین رسمی منتشرشده برای هر دو مورد نیز مشخص است.
