ช่องโหว่ร้ายแรงที่ส่งผลกระทบต่อ cPanel และแดชบอร์ด WebHost Manager (WHM) ทั้งหมดยกเว้นเวอร์ชันล่าสุดอาจถูกนำไปใช้เพื่อเข้าถึงแผงควบคุมโดยไม่ต้องมีการตรวจสอบสิทธิ์
ปัญหาด้านความปลอดภัย ซึ่งปัจจุบันระบุเป็น CVE-2026-41940 และมีคะแนนความรุนแรง 9.8 ได้รับการแก้ไขแล้วในการอัปเดตฉุกเฉินที่จำเป็นต้องเรียกใช้คำสั่งด้วยตนเองเพื่อเรียกซอฟต์แวร์เวอร์ชันที่มีแพตช์
WHM และ cPanel เป็นเจ้าของโดย WebPros International เป็นแผงควบคุมเว็บโฮสติ้งบน Linux สำหรับการจัดการเซิร์ฟเวอร์และเว็บไซต์ ในขณะที่ WHM ให้การควบคุมระดับเซิร์ฟเวอร์ cPanel ให้สิทธิ์ผู้ดูแลระบบในการเข้าถึงแบ็กเอนด์ของเว็บไซต์ เว็บเมล และฐานข้อมูล
ผลิตภัณฑ์ทั้งสองเป็นหนึ่งในแผงควบคุมโฮสติ้งที่ใช้งานกันอย่างแพร่หลายที่สุด ซึ่งได้รับความนิยมจากผู้ให้บริการโฮสติ้งหลายรายสำหรับอินเทอร์เฟซที่ได้มาตรฐาน ใช้งานง่ายสำหรับผู้ใช้ที่ไม่เชี่ยวชาญด้านเทคนิค และบูรณาการอย่างลึกซึ้งกับสแต็คโฮสติ้งทั่วไป
ไม่มีการเปิดเผยรายละเอียดทางเทคนิคต่อสาธารณะ แต่ความรุนแรงของปัญหาดูเหมือนมีนัยสำคัญ เนื่องจาก Namecheap บล็อกการเข้าถึงพอร์ต 2083 และ 2087 ชั่วคราวสำหรับ WHM และ cPanel เพื่อปกป้องลูกค้าจนกว่าแพตช์จะพร้อมใช้งาน
"เราเสียใจที่ต้องแจ้งให้คุณทราบว่ามีการระบุช่องโหว่ด้านความปลอดภัยที่สำคัญในซอฟต์แวร์ cPanel ที่ส่งผลกระทบต่อเวอร์ชันที่รองรับทั้งหมดในปัจจุบัน" Namecheap กล่าว
ผู้ให้บริการโฮสติ้งระบุว่าช่องโหว่ "เกี่ยวข้องกับการใช้ประโยชน์จากการเข้าสู่ระบบการตรวจสอบสิทธิ์ที่อาจอนุญาตให้มีการเข้าถึงแผงควบคุมโดยไม่ได้รับอนุญาต"
ไม่กี่ชั่วโมงหลังจากการแจ้งเตือนของ Namecheap cPanel ได้เผยแพร่กระดานข่าวด้านความปลอดภัยโดยแจ้งว่าปัญหาด้านความปลอดภัยได้รับการแก้ไขแล้วในเวอร์ชันผลิตภัณฑ์ต่อไปนี้:
- 11.110.0.97
- 11.118.0.63
- 11.126.0.54
- 11.132.0.29
- 11.136.0.5
- 11.134.0.20
หากต้องการติดตั้งเวอร์ชันที่ปลอดภัย ผู้จำหน่ายแนะนำให้ผู้ดูแลระบบดำเนินการคำสั่ง /scripts/upcp –force ซึ่งจะรันกระบวนการอัพเดต cPanel และบังคับให้ดำเนินการแม้ว่าระบบคิดว่าได้รันบนเวอร์ชันล่าสุดแล้วก็ตาม
เซิร์ฟเวอร์ที่ใช้ cPanel เวอร์ชันที่ไม่รองรับจะไม่มีสิทธิ์รับการอัปเดตความปลอดภัย ในกรณีนี้ ขอแนะนำให้ผู้ดูแลระบบอัปเกรดเป็นเวอร์ชันที่รองรับโดยเร็วที่สุด
ผู้โจมตีที่เข้าถึง cPanel สามารถควบคุมทุกอย่างที่มีอยู่ในบัญชีโฮสติ้ง ตั้งแต่เว็บไซต์และข้อมูลไปจนถึงอีเมล พวกเขาสามารถใช้การเข้าถึงแบ็คดอร์หรือเชลล์เว็บ เปลี่ยนเส้นทางผู้ใช้ไปยังตำแหน่งที่เป็นอันตราย ขโมยไฟล์ที่ละเอียดอ่อน ส่งสแปมหรืออีเมลฟิชชิ่ง หรือรวบรวมรหัสผ่านจากไฟล์การกำหนดค่า
WHM ให้การเข้าถึงเซิร์ฟเวอร์ทั้งหมดและเว็บไซต์ทั้งหมดที่โฮสต์ ซึ่งหมายความว่าผู้คุกคามสามารถสร้างและลบบัญชี cPanel สร้างการเข้าถึงอย่างต่อเนื่องบนเครื่อง และใช้สำหรับกิจกรรมที่เป็นอันตรายต่างๆ (เช่น การรับส่งข้อมูลพร็อกซี สแปม การส่งมัลแวร์ บ็อตเน็ต)
เจ้าของเว็บไซต์ที่ใช้อินเทอร์เฟซการจัดการที่ได้รับผลกระทบควรตรวจสอบให้แน่ใจว่าได้อัปเดตเป็นเวอร์ชันแพตช์แล้ว
อัปเดต [29 เมษายน, 16:51 EST]: เพิ่มหมายเลขติดตามที่กำหนดโดย VulnCheck
99% ของสิ่งที่ Mythos พบนั้นยังไม่มีการแก้ไข
AI เชื่อมโยงศูนย์วันสี่วันไว้ในช่องโหว่เดียวที่ข้ามทั้งตัวเรนเดอร์และแซนด์บ็อกซ์ระบบปฏิบัติการ คลื่นแห่งการหาประโยชน์ใหม่ๆ กำลังมา
ที่การประชุมสุดยอดการตรวจสอบความถูกต้องโดยอิสระ (12 และ 14 พฤษภาคม) มาดูกันว่าการตรวจสอบความถูกต้องแบบอัตโนมัติและเต็มไปด้วยบริบทค้นหาสิ่งที่สามารถหาประโยชน์ได้ พิสูจน์ว่าการควบคุมยังคงอยู่ และปิดวงจรการแก้ไขได้อย่างไร
อ้างสิทธิ์ตำแหน่งของคุณ
