Một lỗ hổng nghiêm trọng ảnh hưởng đến tất cả phiên bản cPanel và bảng điều khiển WebHost Manager (WHM) ngoại trừ phiên bản mới nhất có thể bị khai thác để truy cập bảng điều khiển mà không cần xác thực.
Vấn đề bảo mật, hiện được xác định là CVE-2026-41940 với điểm nghiêm trọng 9.8, đã được giải quyết trong bản cập nhật khẩn cấp yêu cầu chạy lệnh thủ công để lấy phiên bản đã vá.
Thuộc sở hữu của WebPros International, WHM và cPanel là bảng điều khiển hosting web dựa trên Linux để quản lý server và website. Trong khi WHM cung cấp kiểm soát cấp server, cPanel cung cấp quyền quản trị truy cập backend website, webmail, và cơ sở dữ liệu.
Cả hai sản phẩm nằm trong số bảng điều khiển hosting được triển khai rộng rãi nhất, phổ biến với nhiều nhà cung cấp hosting nhờ giao diện chuẩn hóa, dễ dùng cho người không rành kỹ thuật, và tích hợp sâu với các stack hosting phổ biến.
Không có chi tiết kỹ thuật nào được công bố, nhưng mức độ nghiêm trọng dường như đáng kể, vì Namecheap đã tạm thời chặn truy cập cổng 2083 và 2087 dùng cho WHM và cPanel để bảo vệ khách hàng cho đến khi bản vá có sẵn.
"Chúng tôi tiếc phải thông báo lỗ hổng bảo mật nghiêm trọng đã được xác định trong phần mềm cPanel ảnh hưởng đến tất cả phiên bản được hỗ trợ hiện tại," Namecheap nói.
Nhà cung cấp hosting nói rằng lỗ hổng "liên quan đến lỗ hổng đăng nhập xác thực có thể cho phép truy cập trái phép vào bảng điều khiển."
Vài giờ sau thông báo của Namecheap, cPanel phát hành bản tin an ninh thông báo vấn đề đã được giải quyết trong các phiên bản sản phẩm sau:
- 11.110.0.97
- 11.118.0.63
- 11.126.0.54
- 11.132.0.29
- 11.136.0.5
- 11.134.0.20
Để cài phiên bản an toàn, nhà cung cấp khuyến khích quản trị viên thực thi lệnh /scripts/upcp –force, chạy quy trình cập nhật cPanel và buộc thực thi ngay cả khi hệ thống nghĩ nó đã chạy phiên bản mới nhất.
Server chạy phiên bản cPanel không được hỗ trợ không đủ điều kiện nhận bản cập nhật bảo mật. Trong trường hợp này, khuyến khích quản trị viên nâng cấp lên phiên bản được hỗ trợ sớm nhất.
Kẻ tấn công truy cập cPanel có thể kiểm soát mọi thứ trong tài khoản hosting, từ website và dữ liệu đến email. Chúng có thể dùng truy cập để gắn backdoor hoặc web shell, chuyển hướng người dùng đến địa chỉ độc hại, đánh cắp file nhạy cảm, gửi spam hoặc email lừa đảo, hoặc thu thập mật khẩu từ file cấu hình.
WHM cung cấp truy cập toàn bộ server và tất cả website nó lưu trữ. Điều này có nghĩa là tác thể đe dọa có thể tạo và xóa tài khoản cPanel, thiết lập truy cập bền vững trên máy, và dùng cho nhiều hoạt động độc hại (ví dụ: proxy traffic, spam, phân phối malware, botnet).
Chủ website dùng giao diện quản lý bị ảnh hưởng nên đảm bảo họ đã cập nhật lên phiên bản đã vá.
Cập nhật [29 tháng 4, 16:51 EST]: Đã thêm số theo dõi được gán bởi VulnCheck.
99% Những Gì Mythos Tìm Thấy Vẫn Chưa Được Vá.
AI chuỗi bốn zero-day thành một khai thác vượt qua cả sandbox trình render và hệ điều hành. Một làn sóng khai thác mới đang đến.
Tại Hội Nghị Xác Thực Tự Động (12 & 14 tháng 5), xem cách xác thực tự động, giàu ngữ cảnh tìm ra gì có thể khai thác, chứng minh biện pháp kiểm soát giữ vững, và khép kín vòng khắc phục.
Đăng Ký Ngay