cPanel vá lỗi cho phép tài khoản mail leo thang lên root
"cPanel patched CVE-2026-67401, a flaw in EmailTrack that can let an authenticated hosting account with mail-related privileges create files and ultimately execute code as root on affected cPanel and WHM servers. The issue affects all supported versions and was fixed in builds 11.110.0.143, 11.134.0.55, 11.136.0.39, 11.138.0.4, and 11.138.1.9; cPanel did not provide a severity score or mitigation guidance for systems that cannot immediately update."
Có thể dẫn đến thực thi mã với quyền root, ảnh hưởng đến toàn bộ máy chủ và mọi tài khoản hosting trên hệ thống.
Rủi ro gián đoạn dịch vụ, rò rỉ dữ liệu và mất kiểm soát hạ tầng; cần ưu tiên cập nhật bản vá và kiểm tra sau vá.
cPanel đã vá CVE-2026-67401, một lỗ hổng trong EmailTrack có thể cho phép một tài khoản hosting đã xác thực với quyền liên quan đến email tạo tệp trên máy chủ và từ đó thực thi mã với quyền root trên các hệ thống cPanel và WHM bị ảnh hưởng.
Theo thông báo, lỗi ảnh hưởng đến mọi phiên bản được hỗ trợ và đã được khắc phục trong các bản dựng 11.110.0.143, 11.134.0.55, 11.136.0.39, 11.138.0.4 và 11.138.1.9 cho WP Squared. cPanel mô tả đây là vấn đề SQL injection, nhưng chưa công bố đầy đủ chuỗi khai thác từ SQL injection đến tạo tệp và leo thang đặc quyền.
Về vận hành, quản trị viên có thể cập nhật từ WHM theo đường dẫn Home / cPanel / Upgrade to Latest Version hoặc chạy lệnh /usr/local/cpanel/scripts/upcp --force với quyền root. Thông báo hiện không đưa ra biện pháp giảm thiểu tạm thời cho các hệ thống chưa thể cập nhật ngay.
Do đây là lỗ hổng có thể dẫn đến toàn quyền kiểm soát máy chủ, các đơn vị đang dùng cPanel/WHM nên ưu tiên kiểm tra phiên bản, lập kế hoạch cập nhật sớm và rà soát dấu hiệu bất thường sau khi vá.