آسیب‌پذیری خطرناک cPanel می‌تواند کنترل کامل سرور را در اختیار مهاجم قرار دهد!

بر اساس هشدار امنیتی cPanel، مهاجمی که به یک حساب کاربری احراز هویت‌شده با برخی دسترسی‌های مرتبط با ایمیل دسترسی داشته باشد، می‌تواند از طریق قابلیت EmailTrack فایل‌هایی را با محتوای دلخواه روی سرور ایجاد کند و در ادامه، کد را با سطح دسترسی Root اجرا کند.

این آسیب‌پذیری با شناسه CVE-2026-67401 ثبت شده است.

cPanel هشدار مربوط به این نقص را در تاریخ ۸ سپتامبر ۲۰۲۶ منتشر کرده و اعلام کرده است که تمام نسخه‌های پشتیبانی‌شده cPanel و WHM تحت تأثیر این مشکل قرار دارند.

این آسیب‌پذیری دقیقاً چیست؟

cPanel در توضیحات رسمی خود این مشکل را یک SQL Injection در بخش EmailTrack معرفی کرده است. با این حال، جزئیات کافی درباره نحوه سوءاستفاده از آن منتشر نشده است.

برای مثال، مشخص نیست مهاجم دقیقاً به چه قابلیت یا سطح دسترسی در یک حساب cPanel نیاز دارد.

مستندات توسعه‌دهندگان cPanel نیز ماژولی با نام EmailTrack را معرفی می‌کند که برای رهگیری آمار ایمیل‌ها استفاده می‌شود؛ اما در هشدار امنیتی مشخص نشده است که همین بخش دقیقاً قسمت آسیب‌پذیر سیستم است یا خیر.

نکته مهم این است که این آسیب‌پذیری ظاهراً تنها به یک وب‌سایت یا یک حساب هاست محدود نمی‌شود.

چرا اجرای کد با دسترسی Root خطرناک است؟

در ساختار cPanel، مشتری معمولاً یک حساب هاست را از طریق cPanel مدیریت می‌کند، در حالی که شرکت ارائه‌دهنده هاست کل سرور را از طریق WHM و با دسترسی Root مدیریت می‌کند.

بنابراین اگر مهاجم بتواند از یک حساب معمولی به اجرای کد با دسترسی Root برسد، دیگر محدود به همان حساب نخواهد بود.

در چنین شرایطی، مهاجم می‌تواند به اطلاعات سایر حساب‌های موجود روی سرور دسترسی پیدا کند، فایل‌ها و پایگاه‌های داده را تغییر دهد، حساب‌های مخفی ایجاد کند، بدافزار نصب کند، اطلاعات ورود کاربران را سرقت کند و حتی از سرور برای دسترسی بیشتر به شبکه مشتریان استفاده کند.

به همین دلیل، تبدیل یک حساب هاست معمولی به دسترسی Root می‌تواند پیامد بسیار گسترده‌ای داشته باشد.

نسخه‌های آسیب‌پذیر و نسخه‌های اصلاح‌شده

cPanel نسخه‌های زیر را برای رفع این آسیب‌پذیری منتشر کرده است:

شاخه نسخهنسخه اصلاح‌شده11.11011.110.0.14311.13411.134.0.5511.13611.136.0.3911.13811.138.0.4WP Squared11.138.1.9

مدیران سرور می‌توانند از طریق WHM و مسیر زیر، cPanel را به آخرین نسخه ارتقا دهند:

Home → cPanel → Upgrade to Latest Version

همچنین طبق دستورالعمل cPanel، امکان انجام این کار از طریق خط فرمان و با ورود به سرور به‌عنوان Root وجود دارد:

/usr/local/cpanel/scripts/upcp --force

cPanel درباره نحوه تبدیل SQL Injection به دسترسی Root توضیحی نداده است

یکی از نکات مهم در این هشدار امنیتی، نبود جزئیات فنی درباره زنجیره حمله است.

cPanel توضیح نداده است که چگونه یک مشکل SQL Injection در EmailTrack می‌تواند ابتدا به ایجاد فایل دلخواه روی سرور و سپس به اجرای کد با دسترسی Root منجر شود.

همچنین برای سرورهایی که امکان نصب فوری نسخه اصلاح‌شده را ندارند، راهکار موقتی مشخصی ارائه نشده است.

این موضوع در حالی است که cPanel در یکی از هشدارهای قبلی خود، برای یک آسیب‌پذیری مرتبط با پایگاه داده، راهکاری موقت برای مدیرانی که امکان ارتقا نداشتند پیشنهاد کرده بود.

وضعیت نسخه‌های قدیمی‌تر cPanel

فهرست نسخه‌های اصلاح‌شده فعلی شامل شاخه‌های 110، 134، 136 و 138 است.

cPanel در هشدارهای ماه ژوئیه نسخه‌های 11.118 و 11.126 را نیز اصلاح کرده بود، اما در هشدار جدید نامی از این دو شاخه دیده نمی‌شود و cPanel نیز مشخص نکرده است که آیا این نسخه‌ها همچنان تحت پشتیبانی هستند یا خیر.

در مورد آسیب‌پذیری دیگری که در ماه اوت منتشر شد، اطلاعات CVE نسخه‌های 11.112.0.0 تا پیش از 11.134.0.53 را در محدوده آسیب‌پذیر قرار می‌دهد؛ با این حال، برای شاخه‌های 118 و 126 نسخه اصلاح‌شده‌ای در این اطلاعات اعلام نشده است.

اگر سرور قبلاً مورد حمله قرار گرفته باشد چه؟

یکی دیگر از ابهامات مهم این است که cPanel توضیح نداده آیا نصب نسخه اصلاح‌شده روی سروری که پیش از به‌روزرسانی مورد حمله قرار گرفته، برای رفع مشکل کافی است یا خیر.

همچنین دستورالعمل مشخصی برای بررسی سرور و تشخیص اینکه آیا مهاجمی پیش از نصب وصله از این آسیب‌پذیری سوءاستفاده کرده است، ارائه نشده است.

بنابراین مدیران سرورهایی که احتمال می‌دهند هدف حمله قرار گرفته باشند، نباید صرفاً به نصب وصله اکتفا کنند و بهتر است لاگ‌ها و فعالیت‌های غیرعادی روی سرور را نیز بررسی کنند.

شدت آسیب‌پذیری هنوز مشخص نشده است

هشدار رسمی cPanel برای CVE-2026-67401 امتیاز شدت امنیتی (Severity Score) مشخصی ندارد.

cPanel در سال‌های اخیر امتیازدهی CVEهای خود را از طریق HackerOne انجام می‌دهد و امتیاز نهایی معمولاً در رکورد CVE منتشر می‌شود، نه لزوماً در متن هشدار cPanel.

در زمان بررسی این گزارش در تاریخ ۹ سپتامبر، هنوز رکوردی برای CVE-2026-67401 در مخزن CVE منتشر نشده بود.

برای مقایسه، یک آسیب‌پذیری cPanel دیگر که در ماه اوت منتشر شده بود، امتیاز 8.7 از 10 در سیستم CVSS دریافت کرده است که نشان‌دهنده شدت بالا است.

آیا از این آسیب‌پذیری در حملات واقعی استفاده شده است؟

در جست‌وجوهای انجام‌شده در ۹ سپتامبر، هیچ کد عمومی برای سوءاستفاده (Exploit) یا گزارش معتبری از استفاده مهاجمان از CVE-2026-67401 مشاهده نشده است.

این آسیب‌پذیری همچنین در نسخه ۸ سپتامبر فهرست Known Exploited Vulnerabilities متعلق به CISA قرار نداشت.

با این حال، نبود چنین گزارشی به این معنی نیست که می‌توان احتمال سوءاستفاده را کاملاً رد کرد.

برای نمونه، یک آسیب‌پذیری دیگر cPanel که در ماه آوریل کشف شده بود، امکان دور زدن احراز هویت را بدون نیاز به داشتن حساب کاربری فراهم می‌کرد و بعدها در فهرست CISA قرار گرفت؛ همچنین گزارش‌هایی از استفاده از آن در کمپین‌های باج‌افزاری منتشر شد.

چند آسیب‌پذیری اخیر cPanel مسیر مشابهی دارند

CVE-2026-67401 تنها آسیب‌پذیری اخیر cPanel نیست که از یک حساب معمولی هاست شروع می‌شود.

در تاریخ ۳۰ ژوئیه، cPanel یک آسیب‌پذیری مرتبط با پایگاه داده را برطرف کرد که می‌توانست به یک حساب دارای دسترسی به قابلیت Database اجازه دهد دستورات پایگاه داده را با سطح دسترسی کامل مدیریتی اجرا کند.

همچنین cPanel در ۲۷ اوت یک آسیب‌پذیری در قابلیت Domain Parking را اعلام کرد که در نهایت می‌توانست به اجرای کد با دسترسی Root منجر شود؛ مسیری مشابه با آسیب‌پذیری جدید.

در زمان بررسی، مخازنی که خود را به‌عنوان Exploitهای قابل استفاده برای دو آسیب‌پذیری قبلی معرفی می‌کردند نیز همچنان آنلاین بودند.

چه کسی این آسیب‌پذیری را گزارش کرده است؟

cPanel از Ali Mustafa (rz1027) و abed1526 به‌عنوان گزارش‌دهندگان CVE-2026-67401 نام برده است.

در رکورد CVE مربوط به آسیب‌پذیری ماه اوت نیز نام Ali Mustafa به‌عنوان گزارش‌دهنده دیده می‌شود.

با این حال، cPanel اعلام نکرده است که آیا این دو آسیب‌پذیری به یک بخش یا کد مشترک مربوط هستند یا خیر.

در واقع، رکوردهای مربوط به این دو مشکل آنها را در دسته‌های متفاوتی قرار می‌دهند: آسیب‌پذیری ماه اوت به‌عنوان Eval Injection و آسیب‌پذیری جدید، بر اساس عنوان cPanel، به‌عنوان SQL Injection طبقه‌بندی شده است.

توصیه به مدیران سرور

اگر از cPanel یا WHM استفاده می‌کنید، بهتر است در اولین فرصت نسخه cPanel خود را بررسی کرده و در صورت قرار داشتن در محدوده آسیب‌پذیر، آن را به یکی از نسخه‌های اصلاح‌شده ارتقا دهید.

از آنجا که این آسیب‌پذیری می‌تواند از یک حساب هاست معمولی به اجرای کد با دسترسی Root منجر شود، ریسک آن برای سرورهای اشتراکی و محیط‌هایی که چندین حساب مشتری روی یک سرور قرار دارند، بسیار جدی است.

همچنین اگر سرور پیش از نصب وصله رفتار مشکوکی داشته است، علاوه بر به‌روزرسانی cPanel، بررسی لاگ‌ها، فایل‌های ایجادشده و فعالیت‌های غیرعادی نیز توصیه می‌شود.