ช่องโหว่วิกฤตที่ส่งผลต่อทุกเวอร์ชันยกเว้นเวอร์ชันล่าสุดของ cPanel และแดชบอร์ด WebHost Manager (WHM) อาจถูกใช้ประโยชน์เพื่อเข้าถึงแผงควบคุมโดยไม่ต้องยืนยันตัวตน
ปัญหาด้านความปลอดภัยนี้ ซึ่งระบุปัจจุบันว่าเป็น CVE-2026-41940 และมีคะแนนความรุนแรง 9.8 ได้รับการแก้ไขในการอัปเดตฉุกเฉินที่ต้องรันคำสั่งด้วยตนเองเพื่อดึงเวอร์ชันซอฟต์แวร์ที่ได้รับการแก้ไข
เป็นของ WebPros International, WHM และ cPanel เป็นแผงควบคุมโฮสติ้งเว็บบน Linux สำหรับการจัดการเซิร์ฟเวอร์และเว็บไซต์ ในขณะที่ WHM ให้การควบคุมระดับเซิร์ฟเวอร์ cPanel ให้การเข้าถึงระดับผู้ดูแลระบบไปยังแบ็กเอนด์เว็บไซต์ เว็บเมล และฐานข้อมูล
ทั้งสองผลิตภัณฑ์เป็นแผงควบคุมโฮสติ้งที่ปรับใช้กันอย่างแพร่หลาย ยอดนิยมกับผู้ให้บริการโฮสติ้งมากมายสำหรับอินเทอร์เฟซมาตรฐาน ความสะดวกในการใช้งานสำหรับผู้ใช้ที่ไม่ใช่ผู้เชี่ยวชาญทางเทคนิค และการรวมตัวลึกกับสแต็กโฮสติ้งทั่วไป
ไม่มีรายละเอียดทางเทคนิคที่เปิดเผยต่อสาธารณะ แต่ความรุนแรงของปัญหาดูเหมือนจะมีนัยสำคัญ เนื่องจาก Namecheap บล็อกการเข้าถึงพอร์ต 2083 และ 2087 ที่ใช้สำหรับ WHM และ cPanel ชั่วคราวเพื่อปกป้องลูกค้าจนกว่าจะมีแพทช์
"เราเสียใจที่ต้องแจ้งให้ทราบว่าพบช่องโหว่ด้านความปลอดภัยวิกติวในซอฟต์แวร์ cPanel ส่งผลต่อเวอร์ชันที่รองรับอยู่ทั้งหมด" Namecheap กล่าว
ผู้ให้บริการโฮสติ้งระบุว่าช่องโหว่ "เกี่ยวข้องกับการใช้ประโยชน์จากการล็อกอินการยืนยันตัวตน ที่อาจอนุญาตให้เข้าถึงแผงควบคุมโดยไม่ได้รับอนุญาต"
ไม่กี่ชั่วโมงหลังการแจ้งเตือนของ Namecheap cPanel เผยแพร่บิลเล็ตนความปลอดภัยแจ้งว่าปัญหาด้านความปลอดภัยได้รับการแก้ไขในเวอร์ชันผลิตภัณฑ์ต่อไปนี้:
- 11.110.0.97
- 11.118.0.63
- 11.126.0.54
- 11.132.0.29
- 11.136.0.5
- 11.134.0.20
เพื่อติดตั้งเวอร์ชันที่ปลอดภัย ผู้จัดจำหน่ายแนะนำให้ผู้ดูแลระบบรันคำสั่ง /scripts/upcp –force ซึ่งจะรันกระบวนการอัปเดต cPanel และบังคับให้รันแม้ระบบจะคิดว่าอยู่บนเวอร์ชันล่าสุดแล้ว
เซิร์ฟเวอร์ที่รันเวอร์ชัน cPanel ที่ไม่ได้รับการสนับสนุน ไม่มีสิทธิ์ได้รับการอัปเดตความปลอดภัย ในกรณีนี้ แนะนำให้ผู้ดูแลระบบอัปเกรดเป็นเวอร์ชันที่รองรับโดยเร็วที่สุด
ผู้โจมตีที่ได้เข้าถึง cPanel สามารถควบคุมทุกอย่างที่อยู่ในบัญชีโฮสติ้ง ได้ ตั้งแต่เว็บไซต์และข้อมูล ไปจนถึงอีเมล พวกเขาสามารถใช้การเข้าถึงเพื่อปลูกแบ็กดอร์หรือเว็บเชลล์ เปลี่ยนเส้นทางผู้ใช้ไปยังสถานที่อันตราย ขโมยไฟล์สำคัญ ส่งอีเมลสแปมหรือฟิชชิ่ง หรือรวบรวมรหัสผ่านจากไฟล์การตั้งค่า
WHM ให้การเข้าถึงเซิร์ฟเวอร์ทั้งหมดและเว็บไซต์ทั้งหมดที่โฮสต์อยู่ นั่นหมายความว่าผู้เป็นภัยคอสามารถสร้างและลบบัญชี cPanel สร้างการเข้าถึงที่ต่อเนื่องบนเครื่อง และใช้มันสำหรับกิจกรรมอันตรายต่างๆ (เช่น พร็อกซีトラフィก, สแปม, การส่งมัลแวร์, บอทเน็ต)
เจ้าของเว็บไซต์ที่ใช้อินเทอร์เฟซการจัดการที่ได้รับผลกระทบ ควรตรวจสอบให้แน่ใจว่าพวกเขาได้อัปเดตเป็นเวอร์ชันที่ได้รับการแพทช์แล้ว
อัปเดต [29 เมษายน, 16:51 EST]: เพิ่มหมายเลขติดตามที่กำหนดโดย VulnCheck
99% ของสิ่งที่ Mythos พบยังไม่ได้รับการแพทช์
AI เชื่อมโยงช่องโหว่ศูนย์ 4 ช่องเข้าด้วยกันเป็นชุดโจมตีเดียวที่ข้ามทั้ง Renderer และ OS Sandboxes ได้ อลู่น้ำของการโจมตีใหม่กำลังจะมาถึง
ที่งาน Autonomous Validation Summit (12 และ 14 พฤษภาคม) ดูว่าการตรวจสอบแบบอัตโนมัติที่มีบริบทครบถ้วน หาช่องโหว่ที่โจมตีได้ พิสูจน์การควบคุมว่ายังคงทำงาน และปิดลูปการแก้ไข
จองที่นั่งของคุณ
