cPanel 的 CalDAV 和 CardDAV 服务中的一个漏洞允许任何拥有 cPanel 托管账户的人以根用户身份运行代码并“完全控制服务器”，该公司在 9 月 22 日表示。
第二个漏洞出现在 WP Toolkit 插件中，该插件用于安装和管理 WordPress 网站，允许账户持有者更改属于其他账户的数据库。
cPanel 已发布了这两个漏洞的修复版本，并修复了同一服务中的第三个漏洞，该服务存储每个账户的日历和联系人。第三个漏洞允许服务器上的本地用户读取其他账户的日历事件和联系人，但不能更改它们或获得根访问权限。
cPanel 对于根漏洞没有其他要求，只需拥有一个账户。在一个共享服务器上，托管提供商向公众出售账户，这意味着任何客户都可以利用它。任何获得客户登录信息的人也可以利用它。
这三个漏洞及其修复版本如下：
漏洞
位置
根据 cPanel 的说法，它允许什么
受影响的
修复于
CVE-2026-87899
CalDAV 和 CardDAV
已登录的账户持有者可以以根用户身份运行代码
cPanel & WHM 版本 120 及更高版本
11.134.0.57 或更高版本
11.136.0.41 或更高版本
11.138.0.8 或更高版本
WP Squared 11.138.1.11 或更高版本
CVE-2026-87900
WP Toolkit
已登录的 cPanel 用户可以更改其他账户中的数据库
WP Toolkit 6.11.2-10794 及更早版本
WP Toolkit 6.11.3 或更高版本
CVE-2026-68490
CalDAV 和 CardDAV
本地用户可以读取其他账户的日历事件和联系人
cPanel & WHM 版本 120 及更高版本
11.134.0.57 或更高版本
11.136.0.41 或更高版本
11.138.0.8 或更高版本
WP Squared 11.138.1.11 或更高版本
WP Toolkit 漏洞出现在插件处理创建数据库的命令的方式上。cPanel 仅表示，已登录的 cPanel 用户可以“在其他账户中执行数据库修改”。
它没有说明可能的更改是什么，是否可以读取其他账户的数据，或者用户是否需要访问 WP Toolkit 本身。
WP Toolkit 也可用于 Plesk，这是同一公司 WebPros 的另一个托管控制面板。cPanel 尚未说明 Plesk 版本是否受到影响。
这三条通告中没有提到利用或提供检查服务器在更新之前是否被攻击的方法。当《黑客新闻》在 9 月 23 日检查时，这些漏洞不在 CISA 的已知利用漏洞目录中。
cPanel 将这三个漏洞归功于研究人员 Ali Mustafa，他的用户名为 rz1027。供应商通告和 CVE 记录将他与自 8 月 27 日以来披露的至少七个 cPanel 和 Plesk 漏洞联系在一起，其中三个与名为 abed1526 的研究人员共享。
其中包括 9 月 8 日 cPanel 的 EmailTrack 功能中的一个漏洞，该漏洞允许具有邮件权限的账户以根用户身份运行代码，cPanel 当时表示。
Plesk 在 9 月 10 日修复了另外两个漏洞，涉及其备份管理器恢复文件的方式以及如何处理备份头。它表示，每个漏洞都可能让客户接管整个服务器。
如何更新
cPanel 为 cPanel & WHM 和 WP Toolkit 提供了单独的更新说明。WP Toolkit 作为其自己的软件包 wp-toolkit-cpanel 安装，并具有自己的更新。
cPanel & WHM（CVE-2026-87899 和 CVE-2026-68490）：按照 cPanel 的更新步骤进行。在 WHM 中，转到主页 / cPanel / 升级到最新版本，或以根用户身份运行 /usr/local/cpanel/scripts/upcp --force。该更新还修复了现有账户的日历和联系人权限。
WP Toolkit（CVE-2026-87900）：使用以下命令更新到版本 6.11.3 或更高版本：bash <(curl https://wp-toolkit.plesk.com/cPanel/installer.sh || wget -O - https://wp-toolkit.plesk.com/cPanel/installer.sh) --version 6.11.3
日历漏洞影响版本 120 及更高版本，但 cPanel 仅列出了 134、136 和 138 发布线及 WP Squared 的修复版本。
cPanel 对于尚无法更新的服务器没有提供临时解决方法。对于 WP Toolkit，仅提供了手动命令，并未说明自动更新是否会安装 6.11.3。
觉得这篇文章有趣吗？请在 Google 新闻、Twitter 和 LinkedIn 上关注我们，以阅读更多我们发布的独家内容。