สรุปสั้น
บริษัท cPanel ออกประกาศความปลอดภัยเมื่อวันที่ 8 กันยายน พ.ศ. 2569 แก้ช่องโหว่ที่บริษัทระบุเองว่าเปิดทางให้บัญชีโฮสติงเพียงบัญชีเดียวยึดเซิร์ฟเวอร์ได้ทั้งเครื่อง ช่องโหว่นี้ใช้รหัส CVE-2026-67401 และถูกอธิบายว่าเป็นช่องโหว่ SQL injection ในฟังก์ชัน EmailTrack โดยผู้โจมตีที่ยืนยันตัวตนแล้วและถือสิทธิ์เกี่ยวกับอีเมลสามารถสร้างไฟล์ตามที่ต้องการบนเซิร์ฟเวอร์ผ่านช่องทางนั้น แล้วอาศัยไฟล์ที่สร้างขึ้นรันโค้ดด้วยสิทธิ์ผู้ใช้ root ต่อไปได้ ประกาศระบุว่า cPanel และ WHM ทุกเวอร์ชันที่ยังได้รับการสนับสนุนได้รับผลกระทบ
สิ่งที่ทำให้ช่องโหว่ลักษณะนี้ร้ายแรงกว่าการเจาะเว็บไซต์ของลูกค้ารายเดียวคือโครงสร้างของตัวซอฟต์แวร์เอง cPanel เป็นแผงควบคุมสำหรับงานโฮสติง ลูกค้าหนึ่งรายบริหารบัญชีของตนผ่าน cPanel ขณะที่ผู้ให้บริการบริหารทั้งเครื่องผ่าน WHM ด้วยสิทธิ์ root การไต่จากบัญชีลูกค้าขึ้นไปเป็น root จึงหมายถึงการเข้าถึงทุกบัญชีที่อยู่บนเครื่องเดียวกัน ทั้งการอ่านและแก้ไขไฟล์กับฐานข้อมูล การสร้างบัญชีซ่อนไว้ การติดตั้งมัลแวร์ การขโมยข้อมูลยืนยันตัวตน และการใช้เครื่องนั้นเป็นทางผ่านเข้าสู่เครือข่ายของลูกค้าต่อไป
ข้อมูลที่ประกาศไม่ได้ให้ไว้มีมากพอ ๆ กับที่ให้ไว้ ประกาศไม่มีคะแนนความรุนแรงกำกับ ไม่อธิบายว่าปัญหา SQL injection นำไปสู่การสร้างไฟล์และการได้สิทธิ์ root ได้อย่างไร ไม่ระบุว่าบัญชีต้องมีสิทธิ์หรือฟีเจอร์ใดจึงจะใช้ช่องโหว่ได้ ไม่มีมาตรการชั่วคราวให้ผู้ดูแลที่ยังอัปเดตไม่ได้ทันที และไม่ตอบว่าการติดตั้งบิลด์ที่แก้แล้วจะช่วยเครื่องที่ถูกเจาะไปก่อนหน้าหรือไม่ จนถึงวันที่ 9 กันยายนยังไม่พบโค้ดโจมตีสาธารณะหรือรายงานการถูกใช้โจมตีจริง และรหัสนี้ยังไม่ปรากฏในแคตตาล็อกช่องโหว่ที่ถูกใช้โจมตีจริงหรือ KEV ของ CISA ฉบับวันที่ 8 กันยายน ซึ่งทั้งสองอย่างไม่ใช่หลักประกันว่าไม่มีการโจมตีเกิดขึ้น
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 9 กันยายน พ.ศ. 2569 ว่า cPanel ได้แก้ช่องโหว่ซึ่งบริษัทระบุว่าเปิดทางให้บัญชีโฮสติงบัญชีเดียวเข้าควบคุมเซิร์ฟเวอร์ทั้งเครื่อง โดยเจ้าของบัญชีที่ยืนยันตัวตนแล้วและมีสิทธิ์ที่เกี่ยวข้องกับอีเมลสามารถสร้างไฟล์ตามที่เลือกเองบนเซิร์ฟเวอร์ผ่าน EmailTrack และรันโค้ดในฐานะผู้ใช้ root ได้จากจุดนั้น
ประกาศของ cPanel เรียกช่องโหว่นี้ว่าเป็นปัญหา SQL injection ใน EmailTrack แต่ไม่ได้ระบุว่าบัญชีต้องเปิดใช้ฟีเจอร์ใดหรือถือสิทธิ์ใดจึงจะโจมตีได้ เอกสารสำหรับนักพัฒนาของ cPanel มีโมดูลชื่อ EmailTrack ที่ทำหน้าที่ติดตามสถิติการใช้อีเมล ทว่าประกาศไม่ได้ยืนยันว่าโค้ดส่วนนั้นคือส่วนที่ได้รับผลกระทบจริงหรือไม่
บิลด์ที่ cPanel ระบุว่าแก้แล้วครอบคลุมสาย 11.110, 11.134, 11.136, 11.138 และ WP Squared ซึ่งเป็นรายละเอียดที่มีนัยสำคัญสำหรับผู้ที่ยังค้างอยู่บนสายอื่น เพราะสาย 11.118 และ 11.126 เคยได้รับแพตช์ในประกาศช่วงเดือนกรกฎาคม แต่หลังจากนั้น cPanel ไม่ได้ระบุถึงสองสายนี้อีก และไม่ได้บอกว่ายังอยู่ในการสนับสนุนหรือไม่ ส่วนช่องโหว่ของเดือนสิงหาคมนั้น บันทึก CVE ระบุช่วงเวอร์ชันที่ได้รับผลกระทบตั้งแต่ 11.112.0.0 ขึ้นไปจนถึงแต่ไม่รวม 11.134.0.53 และไม่ได้ระบุบิลด์ที่แก้แล้วในสาย 118 หรือ 126 เลย
อีกจุดที่ต่างจากแนวปฏิบัติเดิมของบริษัทเองคือการไม่มีมาตรการชั่วคราว ในประกาศของวันที่ 30 กรกฎาคมที่เป็นเรื่องช่องโหว่ฝั่งฐานข้อมูล cPanel เคยแนะนำผู้ดูแลที่ยังอัปเกรดไม่ได้ให้ถอดฟีเจอร์ MySQL ออกจากผู้ใช้ cPanel เป็นการชั่วคราว แต่รอบนี้ไม่มีคำแนะนำลักษณะเดียวกัน ทั้งที่เซิร์ฟเวอร์โฮสติงจำนวนมากไม่สามารถอัปเดตได้ทันทีเพราะต้องประสานกับลูกค้าที่ใช้งานอยู่
เรื่องคะแนนความรุนแรงก็อยู่ในสภาพเดียวกัน ประกาศไม่มีคะแนนกำกับ เนื่องจาก CVE ระยะหลังของ cPanel ออกผ่าน HackerOne และคะแนนมักไปปรากฏในบันทึก CVE แทนที่จะอยู่ในประกาศ ตัวอย่างคือบันทึกของช่องโหว่เดือนสิงหาคมที่เผยแพร่วันที่ 1 กันยายน หรือห้าวันหลังประกาศ และให้คะแนน 8.7 เต็ม 10 ตามมาตรวัด CVSS ซึ่งอยู่ในระดับสูง ขณะที่เมื่อ The Hacker News ตรวจคลังบันทึกของ CVE Program เมื่อวันที่ 9 กันยายน ยังไม่มีบันทึกใดเผยแพร่สำหรับ CVE-2026-67401
การค้นหาเมื่อวันที่ 9 กันยายนยังไม่พบโค้ดโจมตีสาธารณะหรือรายงานการถูกใช้โจมตีจริงสำหรับช่องโหว่ตัวนี้ และรหัสนี้ไม่ปรากฏในแคตตาล็อก KEV ฉบับที่เผยแพร่วันที่ 8 กันยายน แต่ทั้งสองอย่างไม่ได้ตัดความเป็นไปได้ที่จะมีการโจมตี เทียบกับช่องโหว่ cPanel เมื่อเดือนเมษายนซึ่งเป็นการข้ามการยืนยันตัวตนที่ไม่ต้องใช้บัญชีเลย ช่องโหว่ตัวนั้นอยู่ในแคตตาล็อก KEV พร้อมบันทึกว่าถูกใช้ในแคมเปญแรนซัมแวร์มาแล้ว
cPanel ให้เครดิตการรายงานช่องโหว่รอบนี้แก่ นาย Ali Mustafa หรือ rz1027 และ abed1526 โดยชื่อแรกเป็นชื่อเดียวกับที่ปรากฏในบันทึก CVE ของช่องโหว่เดือนสิงหาคม อย่างไรก็ตามทั้งประกาศของ cPanel และบันทึกดังกล่าวไม่ได้เชื่อมช่องโหว่สองตัวเข้ากับโค้ดส่วนเดียวกัน และยังจัดประเภทต่างกัน คือ eval injection สำหรับตัวเดือนสิงหาคม ส่วนตัวนี้ cPanel ระบุเองในหัวเรื่องว่าเป็น SQL injection
วิธีการโจมตี
เส้นทางการโจมตีตามที่ประกาศบรรยายไว้เริ่มจากบัญชีโฮสติงธรรมดาที่ยืนยันตัวตนแล้วและมีสิทธิ์เกี่ยวข้องกับอีเมล ผู้โจมตีใช้ช่องโหว่ SQL injection ใน EmailTrack เพื่อสร้างไฟล์ตามที่ต้องการลงบนเซิร์ฟเวอร์ จากนั้นจึงใช้ไฟล์ที่วางไว้เป็นสะพานไปสู่การรันโค้ดในฐานะ root ซึ่งเป็นจุดที่ประกาศเงียบที่สุด เพราะไม่ได้อธิบายว่าการแทรกคำสั่งฐานข้อมูลกลายเป็นการเขียนไฟล์ได้อย่างไร และไฟล์ที่เขียนได้นั้นถูกนำไปรันด้วยสิทธิ์สูงในบริบทใด ผู้ดูแลที่ต้องการเขียนกฎตรวจจับหรือประเมินร่องรอยย้อนหลังจึงไม่มีรายละเอียดเพียงพอจากแหล่งทางการ
รูปแบบที่ว่านี้ไม่ใช่ของใหม่สำหรับ cPanel ในระยะสองเดือนที่ผ่านมามีช่องโหว่อีกอย่างน้อยสองตัวที่เริ่มต้นจากบัญชีโฮสติงธรรมดาเช่นกัน ตัวแรกคือประกาศวันที่ 30 กรกฎาคมที่เป็นช่องโหว่ฝั่งฐานข้อมูล เปิดทางให้บัญชีที่เข้าถึงฟีเจอร์ฐานข้อมูลได้รันคำสั่งฐานข้อมูลด้วยสิทธิ์ผู้ดูแลเต็มรูปแบบ ตัวที่สองคือช่องโหว่ในฟังก์ชันจอดโดเมนที่ cPanel อธิบายไว้เมื่อวันที่ 27 สิงหาคม ซึ่งจบลงด้วยผลแบบเดียวกับรอบนี้คือการรันโค้ดในฐานะ root
ที่ต้องจับตามากกว่าคือสถานะของโค้ดโจมตี เมื่อ The Hacker News ตรวจสอบในวันที่ 9 กันยายน พบว่ามีคลังโค้ดที่นำเสนอตัวเองว่าเป็นโค้ดโจมตีใช้งานได้จริงสำหรับช่องโหว่สองตัวก่อนหน้าเผยแพร่อยู่บนอินเทอร์เน็ตแล้ว นั่นหมายความว่าเซิร์ฟเวอร์ที่ค้างการอัปเดตมาตั้งแต่เดือนกรกฎาคมหรือสิงหาคมกำลังเผชิญความเสี่ยงที่จับต้องได้อยู่ก่อนแล้ว ไม่ต้องรอให้ช่องโหว่ตัวล่าสุดมีโค้ดโจมตีออกมาก่อน
ผลกระทบ
กลุ่มที่รับผลกระทบตรงที่สุดคือผู้ให้บริการโฮสติงและผู้ขายต่อที่รันเครื่องแบบแชร์โฮสติง ซึ่งบนเครื่องเดียวอาจมีบัญชีลูกค้าตั้งแต่หลักสิบไปจนถึงหลายร้อยราย โครงสร้างเช่นนี้ทำให้ช่องโหว่ที่ต้องยืนยันตัวตนก่อนไม่ได้อ่อนแรงลงอย่างที่คิด เพราะผู้โจมตีไม่จำเป็นต้องเจาะบัญชีใครเลยก็ได้ แค่สมัครใช้บริการโฮสติงราคาถูกบนเครื่องเป้าหมายแล้วใช้สิทธิ์ที่ได้มาอย่างถูกต้องเป็นจุดตั้งต้น หรือใช้บัญชีลูกค้ารายใดรายหนึ่งที่ถูกขโมยรหัสผ่านไปแล้วก็เพียงพอ
เมื่อได้สิทธิ์ root ผลที่ตามมาไม่ได้จำกัดอยู่ที่เครื่องนั้น เว็บไซต์ทุกรายบนเครื่องกลายเป็นช่องทางแจกจ่ายมัลแวร์หรือหน้าฟิชชิงได้ทันที ฐานข้อมูลของลูกค้าทุกรายเปิดให้อ่าน ข้อมูลยืนยันตัวตนที่เก็บอยู่ในไฟล์ตั้งค่าของแต่ละเว็บไซต์ถูกรวบไปใช้ต่อได้ และบัญชีผู้ดูแลที่ถูกสร้างซ่อนไว้ทำให้ผู้โจมตีกลับเข้ามาได้แม้จะแพตช์ไปแล้ว สำหรับธุรกิจที่ใช้บริการโฮสติงภายนอก ความเสี่ยงนี้อยู่นอกเหนือการควบคุมของตนเองเกือบทั้งหมด และขึ้นอยู่กับว่าผู้ให้บริการอัปเดตเร็วแค่ไหน
จุดที่ค้างคาที่สุดในเชิงปฏิบัติคือกลุ่มที่ใช้สาย 11.118 และ 11.126 ซึ่งไม่ปรากฏในรายการบิลด์ที่แก้แล้วและไม่มีคำชี้แจงว่ายังอยู่ในการสนับสนุนหรือไม่ ผู้ดูแลกลุ่มนี้จึงไม่รู้ว่าตนเองอยู่ในสถานะได้รับการแก้ไข ไม่ได้รับผลกระทบ หรือถูกทิ้งไว้โดยไม่มีแพตช์ เช่นเดียวกับคำถามว่าเครื่องที่ถูกเจาะไปก่อนอัปเดตจะได้อะไรจากการติดตั้งบิลด์ใหม่ ซึ่งประกาศไม่ได้ตอบและไม่ได้บอกวิธีตรวจสอบย้อนหลังไว้ด้วย
คำแนะนำ
ขั้นแรกคืออัปเดตเป็นบิลด์ที่ cPanel ระบุว่าแก้แล้วตามสายที่ใช้อยู่
| สายเวอร์ชัน | บิลด์ที่แก้แล้ว |
|---|---|
| 11.110 | 11.110.0.143 |
| 11.134 | 11.134.0.55 |
| 11.136 | 11.136.0.39 |
| 11.138 | 11.138.0.4 |
| WP Squared | 11.138.1.9 |
การอัปเดตทำได้จาก WHM ที่เมนู Home / cPanel / Upgrade to Latest Version หรือบนบรรทัดคำสั่งด้วยการล็อกอินเป็น root แล้วรัน /usr/local/cpanel/scripts/upcp --force ตามคำแนะนำของ cPanel เอง เซิร์ฟเวอร์ที่ตั้งค่าอัปเดตอัตโนมัติไว้ควรตรวจยืนยันเลขบิลด์จริงหลังรอบอัปเดตถัดไป ไม่ใช่สันนิษฐานว่าได้รับแพตช์แล้ว
สำหรับเครื่องที่ยังอัปเดตทันทีไม่ได้ ประกาศรอบนี้ไม่มีมาตรการชั่วคราวให้ สิ่งที่ทำได้คือลดพื้นที่โจมตีรอบข้างแทน ได้แก่ ทบทวนว่าบัญชีใดบ้างที่เปิดสิทธิ์เกี่ยวกับอีเมลไว้โดยไม่ได้ใช้งานจริงแล้วถอดสิทธิ์เหล่านั้นออก จำกัดการเข้าถึงพอร์ตของ WHM และ cPanel ให้เหลือเฉพาะเครือข่ายที่เชื่อถือได้ และเพิ่มการยืนยันตัวตนสองขั้นกับบัญชีผู้ดูแลทุกบัญชีเพื่อลดโอกาสที่บัญชีลูกค้าหรือบัญชีผู้ดูแลจะถูกยึดไปใช้เป็นจุดตั้งต้น
ผู้ที่ยังค้างอยู่บนสาย 11.118 หรือ 11.126 ควรติดต่อ cPanel เพื่อขอคำยืนยันสถานะการสนับสนุนโดยตรง แทนการรอให้ประกาศฉบับถัดไปกล่าวถึง และควรวางแผนย้ายไปสายที่ยังได้รับแพตช์อย่างต่อเนื่อง ส่วนเครื่องที่มีความเป็นไปได้ว่าถูกเจาะไปก่อนหน้า ควรตรวจหาไฟล์ที่ถูกสร้างหรือแก้ไขผิดปกติในช่วงก่อนอัปเดต บัญชีผู้ดูแลที่ไม่มีที่มา งานตั้งเวลาที่ถูกเพิ่มเข้ามา และคีย์ SSH ที่ไม่รู้จัก เพราะการติดตั้งแพตช์ไม่ได้ย้อนลบสิ่งที่ผู้โจมตีฝังไว้แล้ว
สุดท้าย ควรติดตามบันทึก CVE ของ CVE-2026-67401 ที่ยังไม่เผยแพร่ ณ วันที่ 9 กันยายน เพราะคะแนนความรุนแรงและรายละเอียดเงื่อนไขการโจมตีของ cPanel ระยะหลังมักปรากฏที่นั่นแทนที่จะอยู่ในประกาศ และควรเฝ้าดูการเพิ่มเข้าแคตตาล็อก KEV ซึ่งจะเป็นสัญญาณว่าช่องโหว่ถูกนำไปใช้โจมตีจริงแล้ว