cPanel vá lỗ hổng nghiêm trọng cho phép chiếm quyền root máy chủ
"cPanel released patches for a critical vulnerability in cPanel & WHM domain parking and addon domain handling, tracked as CVE-2026-65643. An authenticated user with permission to add parked or addon domains could create arbitrary files and potentially achieve root-level code execution on the server; fixes are available in multiple supported builds, and administrators can update via automatic updates, WHM, or /scripts/upcp --force."
CVE-2026-65643 có thể dẫn tới root code execution trên máy chủ chia sẻ. Rủi ro đặc biệt cao vì chỉ cần một tài khoản đã xác thực có quyền phù hợp để tạo tệp tùy ý và leo thang đặc quyền.
Ảnh hưởng trực tiếp đến máy chủ hosting dùng cPanel & WHM, có thể gây mất kiểm soát hệ thống, gián đoạn dịch vụ và phát sinh chi phí ứng cứu. Cần ưu tiên vá ngay và kiểm tra các máy chủ đang chạy bản hết hỗ trợ.
cPanel đã phát hành bản vá cho một lỗ hổng nghiêm trọng trong cPanel & WHM liên quan đến xử lý parked domains và addon domains, được theo dõi là CVE-2026-65643. Theo mô tả, một tài khoản đã xác thực nhưng có quyền thêm miền phụ hoặc miền đỗ có thể tạo tệp tùy ý trên máy chủ, từ đó dẫn tới thực thi mã với quyền root và kiểm soát toàn bộ hệ thống.
Lỗi này ảnh hưởng đến mọi phiên bản được hỗ trợ của cPanel & WHM. Các bản sửa đã có mặt trong các nhánh: 11.110.0.141+, 11.134.0.53+, 11.136.0.37+, 11.138.0.2+ và 11.138.1.7+ cho WP Squared. Quản trị viên có thể nhận bản vá qua tự động cập nhật hằng ngày, cập nhật trong WHM, hoặc chạy /scripts/upcp --force với quyền root.
cPanel chưa công bố CVSS, chưa xác nhận có bị khai thác thực tế hay không, và hiện lỗ hổng này chưa xuất hiện trong danh mục CISA KEV. Với máy chủ đang dùng phiên bản hết vòng đời, cần nâng cấp lên bản được hỗ trợ để nhận bản sửa. Sau khi cập nhật, nên rà soát quyền của tài khoản có thể thêm domain và kiểm tra dấu hiệu bất thường trên máy chủ.