cPanel ha corregido una vulnerabilidad crítica (CVE-2026-67401) que permitía a usuarios con ciertos privilegios de correo ejecutar código como root y tomar control total del servidor. El fallo, relacionado con una inyección SQL en la función EmailTrack, afecta a todas las versiones compatibles del software. Se recomienda a los administradores actualizar inmediatamente a las versiones corregidas a través de WHM o la línea de comandos.

cPanel ha parcheado un fallo que, según indica, permite que una sola cuenta de hosting tome el control de todo un servidor. Un titular de cuenta autenticado con privilegios relacionados con el correo puede crear archivos de su elección en el servidor a través de EmailTrack y, desde ahí, ejecutar código como usuario root.

cPanel publicó el aviso el 8 de septiembre aquí y afirma que todas las versiones compatibles de cPanel y WHM están afectadas.

El fallo está registrado como CVE-2026-67401. El aviso de cPanel lo califica como un problema de inyección SQL en EmailTrack, pero no especifica qué función o privilegio de cPanel necesita la cuenta. La documentación para desarrolladores de cPanel enumera un módulo EmailTrack que rastrea estadísticas de correo electrónico, y el aviso no aclara si ese es el código afectado.

cPanel es un software de panel de control de alojamiento web. Tú, como cliente, gestionas una cuenta de hosting a través de cPanel, mientras que el proveedor gestiona toda la máquina a través de WHM como usuario root.

Los atacantes explotaron un fallo diferente de cPanel en abril. Tomar el control del panel no es lo mismo que entrar en el sitio web de un cliente, dijo la empresa de seguridad Hadrian en aquel momento, porque WHM otorga al atacante acceso administrativo root al servidor.

Un atacante con ese acceso puede leer cada cuenta de hosting en la máquina, cambiar archivos y bases de datos, crear cuentas ocultas, instalar malware, robar credenciales y moverse hacia las redes de los clientes.

cPanel nombró estas versiones corregidas:

Línea de lanzamiento | Versión corregida
11.110 | 11.110.0.143
11.134 | 11.134.0.55
11.136 | 11.136.0.39
11.138 | 11.138.0.4
WP Squared | 11.138.1.9

Puedes actualizar un servidor desde WHM en Inicio / cPanel / Actualizar a la versión más reciente. En la línea de comandos, las instrucciones de cPanel aquí indican que debes iniciar sesión como root y ejecutar /usr/local/cpanel/scripts/upcp --force.

El aviso no explica cómo un problema de inyección SQL conduce a la creación de archivos y luego al acceso root.

El aviso tampoco ofrece ninguna medida provisional para los servidores que no puedan actualizarse de inmediato. cPanel dio un paso así en su aviso del 30 de julio aquí para un fallo de base de datos, donde se les dijo a los administradores que no podían actualizar que podían eliminar temporalmente la función de MySQL de los usuarios de cPanel.

La lista de parches cubre las líneas de lanzamiento 110, 134, 136 y 138. cPanel parcheó las líneas 11.118 y 11.126 en sus avisos de julio, no las ha enumerado desde entonces y no ha dicho si siguen siendo compatibles.

Para el fallo de agosto, el registro CVE enumera todas las versiones desde 11.112.0.0 hasta, pero sin incluir, 11.134.0.53 en el rango afectado y no enumera ninguna versión corregida en las líneas 118 o 126.

cPanel tampoco dice si instalar la versión parcheada ayuda a un servidor que fue atacado antes de la actualización, o cómo podrías comprobarlo tú como administrador.

El aviso no incluye una puntuación de severidad. Los CVE recientes de cPanel se asignan a través de HackerOne, y las puntuaciones han estado llegando al registro CVE en lugar de al aviso.

El registro del fallo de agosto se publicó el 1 de septiembre, cinco días después de ese aviso. Califica ese fallo con un 8.7 sobre 10 en la escala CVSS, lo que indica una severidad alta. No se había publicado ningún registro para el CVE-2026-67401 cuando se revisó el almacén de registros del Programa CVE el 9 de septiembre.

No aparecieron códigos de explotación públicos ni informes de explotación en las búsquedas del 9 de septiembre, y el CVE-2026-67401 está ausente del catálogo de Vulnerabilidades Explotadas Conocidas de CISA aquí en la versión publicada el 8 de septiembre.

Ninguna de estas comprobaciones descarta la explotación. Aquel fallo de abril, una omisión de autenticación que no requería ninguna cuenta, está en el mismo catálogo con uso conocido en campañas de ransomware.

Otros dos fallos de cPanel revelados desde finales de julio también parten de una cuenta de hosting ordinaria. Un aviso del 30 de julio cubrió un fallo de base de datos que podría permitir que una cuenta con acceso a la función de base de datos ejecute comandos de base de datos con privilegios administrativos completos. cPanel describió un fallo el 27 de agosto en el estacionamiento de dominios que terminó de la misma manera que este: ejecución de código como root.

Los repositorios que se presentan como exploits funcionales para esos dos fallos estaban en línea cuando se revisó el 9 de septiembre.

cPanel acredita a Ali Mustafa (rz1027) y abed1526 por informar sobre este último. El registro CVE del fallo de agosto acredita el mismo nombre, Ali Mustafa.

Ni los avisos de cPanel ni ese registro vinculan los dos fallos al mismo código. Los registros los clasifican de manera diferente: inyección eval para el fallo de agosto e inyección SQL para este, según el propio título de cPanel.

Fuente:
THN