La falla di SQL injection in cPanel EmailTrack consente l'accesso root
Una vulnerabilità recentemente divulgata nella funzione EmailTrack di cPanel potrebbe consentire a un attaccante con privilegi legati alla posta su un account di hosting di eseguire infine codice come utente root sul server, secondo un avviso pubblicato da cPanel l'8 settembre. La falla, tracciata come CVE-2026-67401, riguarda ogni versione supportata di cPanel e WHM, ha dichiarato l'azienda. cPanel descrive il problema come un problema di SQL injection in EmailTrack, ma il suo avviso non specifica quale funzione o privilegio di cPanel debba avere un account. La documentazione per sviluppatori elenca EmailTrack come un modulo che tiene traccia delle statistiche email, anche se l'avviso non conferma che sia quello il codice interessato.
cPanel è un pannello di controllo per l'hosting web ampiamente utilizzato. Un cliente in genere gestisce un account di hosting tramite cPanel, mentre il provider di hosting gestisce l'intera macchina tramite WHM come utente root. Secondo l'avviso, un titolare di account autenticato con privilegi legati alla posta può creare file a sua scelta sul server tramite EmailTrack e, da lì, eseguire codice come utente root. L'accesso root è il livello più alto di controllo su un server. La società di sicurezza Hadrian ha osservato in aprile, quando è stata sfruttata una diversa falla di cPanel, che prendere il controllo del pannello non è la stessa cosa che violare il sito web di un singolo cliente, perché WHM fornisce all'attaccante un accesso amministrativo root. Un attaccante con tale accesso può leggere ogni account di hosting sulla macchina, modificare file e database, creare account nascosti, installare malware, rubare credenziali e spostarsi nelle reti dei clienti.
cPanel ha elencato le build corrette per le seguenti linee di rilascio: 11.110.0.143, 11.134.0.55, 11.136.0.39, 11.138.0.4 e WP Squared 11.138.1.9. Un server può essere aggiornato da WHM sotto Home / cPanel / Upgrade to Latest Version. Dalla riga di comando, le istruzioni di cPanel dicono di accedere come root ed eseguire /usr/local/cpanel/scripts/upcp --force. L'elenco corretto copre le linee di rilascio 110, 134, 136 e 138. cPanel ha corretto le linee 11.118 e 11.126 nei suoi avvisi di luglio, non le ha più elencate da allora e non ha detto se sono ancora supportate. Per una falla di agosto, il record CVE elenca ogni versione dalla 11.112.0.0 fino a, ma non inclusa, la 11.134.0.53 come interessata e non elenca alcuna build corretta nelle linee 118 o 126.
L'avviso non spiega come un problema di SQL injection porti alla creazione di file e poi all'accesso root. Non offre nemmeno nulla da fare nel frattempo per i server che non possono aggiornarsi subito. Questo contrasta con l'avviso di cPanel del 30 luglio per una falla del database, in cui agli amministratori che non potevano aggiornare veniva detto che potevano temporaneamente rimuovere la funzione database dagli utenti cPanel. cPanel inoltre non dice se installare la build corretta aiuti un server che è stato attaccato prima dell'aggiornamento, né come un amministratore potrebbe verificarlo. L'avviso non riporta alcun punteggio di gravità. I recenti CVE di cPanel vengono assegnati tramite HackerOne e i punteggi sono arrivati nel record CVE anziché nell'avviso. Il record per la falla di agosto è stato pubblicato il 1° settembre, cinque giorni dopo quell'avviso, e le ha assegnato un punteggio di 8,7 su 10 sulla scala CVSS, indicando una gravità elevata. Nessun record era stato pubblicato per CVE-2026-67401 quando The Hacker News ha controllato l'archivio dei record del CVE Program il 9 settembre.
Nessun codice di exploit pubblico o segnalazione di sfruttamento è emerso dalle ricerche del 9 settembre, e CVE-2026-67401 è assente dal catalogo delle vulnerabilità sfruttate note di CISA nella versione rilasciata l'8 settembre. Tuttavia, nessuno dei due controlli esclude lo sfruttamento. La falla di aprile, un bypass dell'autenticazione che non richiedeva alcun account, è nello stesso catalogo con uso noto in campagne ransomware. Altre due falle di cPanel divulgate dalla fine di luglio partono anch'esse da un normale account di hosting. Un avviso del 30 luglio riguardava una falla del database che poteva consentire a un account con accesso alla funzione database di eseguire comandi del database con privilegi amministrativi completi. cPanel ha descritto una falla del 27 agosto nel domain parking che finiva allo stesso modo di questa: esecuzione di codice come root. I repository che si presentano come exploit funzionanti per quelle due falle erano online quando The Hacker News ha controllato il 9 settembre.
cPanel attribuisce ad Ali Mustafa (rz1027) e abed1526 la segnalazione di questa vulnerabilità. Il record CVE per la falla di agosto attribuisce lo stesso nome, Ali Mustafa. Né gli avvisi di cPanel né quel record collegano le due falle allo stesso codice. I record le classificano diversamente: eval injection per la falla di agosto e SQL injection per questa, secondo il titolo di cPanel stesso.
Per i proprietari di siti web e i provider di hosting, l'azione immediata è verificare che le installazioni di cPanel siano state aggiornate a una delle build corrette. L'assenza di un exploit pubblico non significa che la vulnerabilità sia innocua, soprattutto dato lo storico di sfruttamento rapido di falle simili di cPanel. I clienti di hosting gestito dovrebbero informarsi con il proprio provider sui programmi di patch. AEU Hosting fornisce hosting WordPress gestito e utilizza AEU Panel come pannello di controllo, con gli aggiornamenti gestiti dal provider, il che è un esempio di come un servizio gestito possa sollevare il proprietario del sito da questa responsabilità.