Blog 24/7
ARK. 1 · 1 min czytaniaWordPress ·

Luka w cPanel pozwala posiadaczowi konta hostingowego przejąć serwer jako root

cPanel wydał poprawione wersje po trzech błędach. Najgroźniejszy, w usłudze CalDAV i CardDAV, pozwala posiadaczowi konta hostingowego uruchomić kod jako root.

Karta wpisu: Luka w cPanel pozwala posiadaczowi konta hostingowego przejąć serwer jako root

cPanel załatał błąd w usłudze CalDAV i CardDAV, przez który posiadacz konta hostingowego może uruchomić kod jako root i przejąć pełną kontrolę nad serwerem. Poprawione wersje są już dostępne. Producent ogłosił to 22 września. Do ataku potrzebne jest tylko konto, innych warunków producent nie podaje. Drugi błąd, w WP Toolkit, pozwala zmieniać bazy danych należące do innych kont. Trzeci, w tej samej usłudze kalendarzy i kontaktów, pozwala lokalnemu użytkownikowi serwera czytać wydarzenia i kontakty innych kont. Żaden z trzech komunikatów nie wspomina o wykorzystaniu luk.

Kogo dotyczy

Dotyczy serwerów z cPanelem, zwłaszcza współdzielonych, na których dostawca sprzedaje konta publicznie. Tam luki może użyć każdy klient albo każdy, kto zdobędzie jego dane logowania. WP Toolkit służy do instalowania stron WordPress i działa też w panelu Plesk. cPanel nie podał, czy wersja dla Pleska jest podatna.

Co zrobić

Zaktualizować cPanel do wersji z poprawką, bo producent wydał poprawki wszystkich trzech błędów. Materiał nie podaje sposobu sprawdzenia, czy serwer zaatakowano przed aktualizacją.

TAB. 2

Źródła

1
The Hacker News — New cPanel Flaw Lets a Hosting Account Run Code as Root, Take Full Server Controlthehackernews.com
TAB. 3

Powiązane

3
07.11.2026WordPressBackdoor cwpdoor w Control Web Panel wykonuje polecenia bez śladu w logach
05.11.2026WordPressCWPdoor podmienia serwer cwpsrv w Control Web Panel i otwiera tylne wejście do Linuksa
05.11.2026WordPressDreamHost potwierdza wyciek haseł FTP/SFTP i sesji poczty webowej

Wszystkie wpisy →

Blog 24/7
07.11PSE utworzą CSIRT Energia, piąty sektorowy zespół reagowania na incydenty w Polscespidersweb.pl07.11120 mln zł na bezpieczną komunikację mobilną dla ponad 40 tys. podmiotów KSCcrn.pl07.11NBP: w 80,1 proc. oszustw płatniczych ofiara sama zleciła przelew lub dała danetelepolis.pl07.11Crédit Mutuel Arkéa: nieuprawnione przelewy na 118 mln euro po wejściu przez dostawcębleepingcomputer.com07.11CTM360: ponad 1000 incydentów z fałszywymi kartami podarunkowymi znanych marekbleepingcomputer.com07.11Ataki na podłączone do internetu chłodnie objęły trzy placówki krwi we Francjiwired.com07.11Claude Code zapisuje hasła w pliku ustawień: 1122 publiczne kopie z sekretami na GitHubiethehackernews.com07.11Backdoor cwpdoor w Control Web Panel wykonuje polecenia bez śladu w logachthehackernews.com07.11Japonia przeznacza 10 mld jenów na awaryjny pakiet cyberbezpieczeństwa po fali wyciekówsecurityweek.com07.11Otwarte modele AI niemal dorównują zamkniętym w atakach na sieci firmowewired.com