cPanel vá lỗi cho phép tài khoản hosting leo thang lên root
"cPanel disclosed three vulnerabilities affecting CalDAV/CardDAV and WP Toolkit that could let a logged-in hosting account escalate to root, modify databases in other accounts, or read other users' calendar and contact data. The root and data-access flaws are tracked as CVE-2026-87899 and CVE-2026-68490, while the WP Toolkit issue is CVE-2026-87900; cPanel released fixed builds and recommends updating cPanel & WHM or WP Toolkit to the patched versions."
Nguy cơ leo thang đặc quyền lên root, truy cập dữ liệu liên tài khoản và kiểm soát toàn bộ máy chủ trên môi trường dùng chung.
Có thể gây gián đoạn dịch vụ hosting, rò rỉ dữ liệu khách hàng và phát sinh rủi ro vận hành nếu chưa kịp vá.
cPanel đã công bố ba lỗ hổng ảnh hưởng đến CalDAV/CardDAV và WP Toolkit, trong đó một lỗi có thể cho phép tài khoản hosting đã đăng nhập thực thi mã với quyền root và giành toàn quyền kiểm soát máy chủ. Một lỗi khác trong WP Toolkit có thể cho phép người dùng sửa đổi cơ sở dữ liệu của tài khoản khác. Lỗi còn lại cho phép người dùng cục bộ đọc lịch và danh bạ của tài khoản khác, nhưng không ghi sửa dữ liệu hay leo thang đặc quyền.
Hai lỗ hổng liên quan đến CalDAV/CardDAV được theo dõi là CVE-2026-87899 và CVE-2026-68490; lỗi trong WP Toolkit là CVE-2026-87900. cPanel cho biết đã phát hành các bản dựng đã vá cho cPanel & WHM và WP Toolkit, đồng thời khuyến nghị cập nhật ngay lên các phiên bản tương ứng. Với cPanel & WHM, quản trị viên có thể cập nhật qua WHM hoặc chạy lệnh upcp --force với quyền root. Với WP Toolkit, cần nâng cấp lên 6.11.3 hoặc mới hơn.
Do các lỗi này có thể ảnh hưởng trực tiếp đến máy chủ dùng chung, đội vận hành nên ưu tiên kiểm tra phiên bản, cập nhật sớm và rà soát quyền truy cập của các tài khoản hosting.