27 sierpnia cPanel opublikował advisory dla CVE-2026-65643. Uwierzytelniony właściciel konta, który może dodawać parked lub addon domains, może tworzyć arbitralne pliki na serwerze. Skutkiem może być code execution jako root i przejęcie wszystkich kont, stron i baz.
Authenticated nie znaczy trusted
W hostingu konto cPanel jest produktem dla klienta, nie kontem administratora. Na jednym serwerze mogą istnieć setki tenantów, więc warunek „posiada konto” jest łatwy do spełnienia. PR:L dla tenant account i PR:L dla wewnętrznego administratora to dwa różne modele zaufania.
Retroactive incident revalidation
Na forum cPanel operator opisał wcześniejszą kompromitację z zachowaniem podobnym do nowo ujawnionej ścieżki. To podejrzenie, nie dowód exploitation — ale właśnie tak powinien działać VE: nowe CVE może uruchomić ponowną analizę niewyjaśnionych incydentów. Po patchu na podejrzanym systemie warto przejrzeć domain-parking activity, WHM/API logs, root sessions, persistence i rozważyć credential rotation.
EOL też jest findingiem
cPanel wskazuje, że wersje EOL muszą przejść na wspieraną linię, aby dostać fix. Brak patcha z powodu EOL nie oznacza braku podatności — oznacza lifecycle remediation.
Wniosek
Priorytet musi uwzględniać, kim jest „authenticated user”. W multi-tenant platformie zwykłe konto klienta jest attacker-controlled by design — pytanie nie brzmi „czy atak wymaga konta?”, lecz: jak łatwo napastnik zdobywa dokładnie takie konto, jakiego wymaga exploit?
Powiązane na blogu
- Ograniczone ssm:SendCommand, a plik jako root — privilege transition ponad prerequisite
- Admin aplikacji czy root serwera? — kto realnie jest „zaufany”
Źródła
- cPanel — Security Advisory CVE-2026-65643 (27.08.2026) — support.cpanel.net
- cPanel Community (28–29.08.2026) — support.cpanel.net
Nota redakcyjna: stan informacji 1 września 2026. CVE-2026-65643 (cPanel domain parking) pozwala uwierzytelnionemu właścicielowi konta tworzyć arbitralne pliki i osiągnąć code execution jako root. Opis forum o wcześniejszej kompromitacji jest podejrzeniem, nie dowodem. Artykuł koncentruje się na „authenticated ≠ trusted” i retroaktywnej rewalidacji.