Un bug appena corretto in cPanel permette a chi possiede semplici privilegi email di eseguire codice come root e compromettere l'intero server. Tutte le versioni supportate sono coinvolte e la patch è urgente.
Un singolo account di hosting con privilegi email può ora trasformarsi nella chiave d'accesso all'intero server: la nuova falla CVE-2026-67401 in cPanel consente l'esecuzione di codice come root, mettendo a rischio ogni sito e dato ospitato sulla macchina. Non si tratta di una semplice compromissione di un sito web, ma di un attacco che può annientare la sicurezza di tutti i clienti di un provider.
La vulnerabilità, appena corretta da cPanel, riguarda ogni versione supportata di cPanel e WHM. Un utente autenticato con accesso alle funzioni email può sfruttare EmailTrack per creare file arbitrari sul server e, da lì, ottenere privilegi root. Il problema è stato segnalato da Ali Mustafa (rz1027) e abed1526, già noti per aver individuato altre falle simili nei mesi scorsi.
Come funziona l'attacco e quali versioni sono vulnerabili
Secondo l'avviso ufficiale di cPanel, il bug nasce da una SQL injection nel modulo EmailTrack, anche se la documentazione non chiarisce quale funzione o privilegio sia effettivamente necessario per sfruttarlo. L'azienda ha pubblicato la patch l'8 settembre, ma non ha fornito dettagli tecnici su come la SQL injection si traduca in scrittura di file e poi in esecuzione di codice come root. Nessuna indicazione è stata data su come mitigare il rischio per chi non può aggiornare subito.
Le versioni corrette sono: 11.110.0.143, 11.134.0.55, 11.136.0.39, 11.138.0.4 e WP Squared 11.138.1.9. L'aggiornamento può essere eseguito da WHM o tramite comando da root. Restano dubbi sulle linee 11.118 e 11.126, già oggetto di patch in estate ma ora escluse dall'elenco ufficiale dei build supportati.
Impatto reale e precedenti attacchi
Un attaccante che ottiene accesso root tramite questa falla può leggere e modificare ogni file, database e account sul server, installare malware, rubare credenziali e persino infiltrarsi nelle reti dei clienti. Non è la prima volta che cPanel finisce sotto i riflettori: ad aprile una vulnerabilità di bypass dell'autenticazione, sfruttata anche da ransomware, aveva già dimostrato quanto sia fragile la sicurezza di questi ambienti se non costantemente aggiornati.
Negli ultimi mesi, altre due falle partivano da un account ordinario: una nel database (luglio) e una nella gestione dei domini parcheggiati (agosto), entrambe capaci di portare all'esecuzione di codice come root. Repository di exploit funzionanti per questi bug sono già apparsi online, anche se per la nuova CVE-2026-67401 non risultano ancora codici pubblici né segnalazioni di attacchi attivi. Tuttavia, l'assenza di exploit noti non è mai una garanzia di sicurezza.
Reazioni, limiti della comunicazione e rischi per i provider
cPanel non ha pubblicato un punteggio di gravità per la nuova vulnerabilità, lasciando agli amministratori il compito di valutare l'urgenza. Per la falla di agosto, il punteggio CVSS era 8.7 su 10, segno di rischio elevato. La gestione delle comunicazioni da parte di cPanel resta opaca: mancano dettagli tecnici, non si sa se la patch protegge da compromissioni già avvenute e non vengono suggerite misure temporanee per chi non può aggiornare subito, a differenza di quanto fatto in passato per altri bug.
Il quadro che emerge è quello di una piattaforma che, pur essendo lo standard di fatto per l'hosting condiviso, continua a mostrare falle sistemiche nella separazione dei privilegi tra utenti e root. Un problema che ricorda quanto accaduto anche in altri contesti, come recenti attacchi a SonicWall, dove la compromissione di un singolo servizio ha messo a rischio l'intera infrastruttura.
La realtà è che ogni provider che utilizza cPanel deve aggiornare immediatamente, senza attendere exploit pubblici o conferme di attacchi attivi. La mancanza di trasparenza sulle patch e la rapidità con cui emergono nuove vulnerabilità dimostrano che la sicurezza in ambienti di hosting condiviso resta un miraggio se non si adottano processi di aggiornamento automatico e monitoraggio continuo. Chi gestisce server cPanel senza patchare tempestivamente sta giocando con il fuoco, mettendo a rischio non solo i propri clienti ma l'intera reputazione del settore.
