สรุปสั้น
cPanel ออกแพตช์แก้ช่องโหว่ที่เพิ่งเปิดเผยสามรายการ ซึ่งคุกคามการแยกผู้เช่า (tenant isolation) บนเซิร์ฟเวอร์โฮสติงแบบแชร์ โดยจุดหลักคือช่องโหว่สิทธิ์ที่เผยปฏิทินและรายชื่อผู้ติดต่อของผู้ใช้รายอื่น การอัปเดตความปลอดภัยเมื่อวันที่ 22 กันยายน 2569 แก้ทั้ง CVE-2026-68490 พร้อมช่องโหว่ยกระดับสิทธิ์เป็น root และช่องโหว่ข้ามบัญชีในส่วนฐานข้อมูลของ WP Toolkit ทำให้ผู้ให้บริการโฮสติงและผู้ดูแลเซิร์ฟเวอร์ต้องอัปเดตโดยด่วน
CVE-2026-68490 เกิดจากการตั้งสิทธิ์ไม่ถูกต้องในฟังก์ชัน CalDAV และ CardDAV ของ cPanel ทำให้ผู้ใช้ในเครื่องเดียวกันสามารถอ่านเหตุการณ์ในปฏิทินและข้อมูลผู้ติดต่อของบัญชี cPanel อื่นได้ แม้ช่องโหว่นี้จำกัดแค่การอ่าน (ไม่สามารถแก้ไขหรือได้สิทธิ์ root) แต่การรั่วไหลของนัดหมายและรายชื่อผู้ติดต่ออาจเผยชื่อ อีเมล ความสัมพันธ์ทางธุรกิจ และตารางประชุม ซึ่งเป็นประโยชน์ต่อการทำฟิชชิงและวิศวกรรมสังคม นักวิจัยความปลอดภัย นาย Ali Mustafa (รู้จักในชื่อ rz1027) เป็นผู้รายงานช่องโหว่นี้อย่างมีความรับผิดชอบ
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 23 กันยายน 2569 ว่า cPanel ปล่อยแพตช์เมื่อวันที่ 22 กันยายน 2569 แก้ช่องโหว่สามรายการที่กระทบการแยกผู้เช่าบนเซิร์ฟเวอร์โฮสติงแบบแชร์
ตามคำแนะนำความปลอดภัยที่ cPanel เผยแพร่ CVE-2026-68490 กระทบ cPanel และ WHM เวอร์ชัน 120 ขึ้นไป โดยบิลด์ที่แก้แล้วคือ 11.134.0.57, 11.136.0.41, 11.138.0.8 และ WP Squared 11.138.1.11 ขึ้นไป การติดตั้งอัปเดตจะแก้สิทธิ์ของพื้นที่จัดเก็บปฏิทินและสมุดที่อยู่ที่สร้างขึ้นใหม่ พร้อมซ่อมสิทธิ์ที่ไม่ปลอดภัยบนบัญชีที่มีอยู่เดิม สำหรับโฮสต์แบบแชร์ แม้เป็นการเข้าถึงแบบอ่านอย่างเดียวก็ถือว่าสำคัญ เพราะผู้เช่าที่ถูกต้องรายหนึ่งอาจเก็บรวบรวมข้อมูลส่วนตัวของลูกค้ารายอื่นที่ไม่เกี่ยวข้องกันได้โดยไม่ได้รับอนุญาต
การอัปเดตชุดเดียวกันยังแก้ CVE-2026-87899 ซึ่งอันตรายกว่ามากในส่วน CalDAV และ CardDAV โดยเจ้าของบัญชี cPanel ที่ยืนยันตัวตนแล้วสามารถยกระดับสิทธิ์และรันโค้ดในฐานะ root จนอาจควบคุมเซิร์ฟเวอร์ได้ทั้งหมด ช่องโหว่นี้กระทบเวอร์ชัน 120 ขึ้นไปและแก้ด้วยบิลด์ชุดเดียวกัน ส่วน CVE-2026-87900 อยู่ในการจัดการคำสั่งสร้างฐานข้อมูลของ WP Toolkit ทำให้ผู้ใช้ cPanel ที่ล็อกอินแล้วสามารถแก้ไขฐานข้อมูลของบัญชีอื่นได้ สร้างความเสี่ยงต่อความถูกต้องของข้อมูลข้ามบัญชีอย่างร้ายแรงสำหรับโฮสติง WordPress โดย WP Toolkit เวอร์ชัน 6.11.2-10794 และก่อนหน้ามีช่องโหว่ ผู้ดูแลต้องอัปเกรดคอมโพเนนต์ wp-toolkit-cpanel เป็นเวอร์ชัน 6.11.3 ขึ้นไป
รายละเอียดช่องโหว่
ทั้งสามช่องโหว่โจมตีหลักการพื้นฐานของโฮสติงแบบแชร์ นั่นคือการที่ลูกค้าแต่ละรายควรถูกแยกออกจากกันบนเซิร์ฟเวอร์เดียวกัน CVE-2026-68490 ทำลายขอบเขตนี้ในระดับการอ่านข้อมูลปฏิทินและรายชื่อ ขณะที่ CVE-2026-87899 ยกระดับจากผู้ใช้ธรรมดาไปถึง root ซึ่งเท่ากับยึดทั้งเครื่อง และ CVE-2026-87900 เปิดให้แก้ไขฐานข้อมูลข้ามบัญชีในสภาพแวดล้อม WordPress ที่มักมีเว็บไซต์ของลูกค้าหลายรายอยู่ร่วมกัน
การเปิดเผยครั้งนี้ต่อยอดจากชุดช่องโหว่ในระบบนิเวศ cPanel ที่ทยอยพบก่อนหน้า เช่น CVE-2026-65638 (command injection แบบไม่ต้องยืนยันตัวในบริการ MESSENGER ของ ConfigServer Security & Firewall), CVE-2026-67401 (SQL injection ใน EmailTrack นำไปสู่การรันโค้ดเป็น root — เคยรายงานในโพสต์ 071 ) และ CVE-2026-65643 (ช่องโหว่ domain parking ที่ให้ผู้ใช้ที่ยืนยันตัวแล้วสร้างไฟล์ตามใจและได้สิทธิ์ root — เคยรายงานในโพสต์ 168 ) นอกจากนี้ยังมีช่องโหว่แยกต่างหากใน LiteSpeed Enterprise เวอร์ชันก่อน 6.3.7 ที่ให้ผู้ใช้สิทธิ์ต่ำบนโฮสติงแบบแชร์ข้ามการแยกผู้เช่าและได้สิทธิ์ root
ผลกระทบ
ช่องโหว่กลุ่มนี้กระทบผู้ให้บริการโฮสติงแบบแชร์และผู้ดูแลเซิร์ฟเวอร์โดยตรง เพราะบัญชีโฮสติงที่ถูกบุกรุกเพียงบัญชีเดียวอาจเปิดข้อมูลของผู้เช่ารายอื่นบนเครื่องเดียวกัน หรือในกรณีร้ายแรงที่สุดคือยึดทั้งเซิร์ฟเวอร์ผ่านการยกระดับเป็น root ระบบที่เปิดให้ผู้ใช้หลายรายและมีการเปิดใช้อัปเดตอัตโนมัติควรได้รับความสำคัญเป็นลำดับแรก เพราะช่องโหว่ยกระดับสิทธิ์และการเข้าถึงข้อมูลข้ามบัญชีเป็นความเสี่ยงที่สะสมได้เมื่อมีลูกค้าจำนวนมากอยู่บนโครงสร้างพื้นฐานร่วมกัน
คำแนะนำ
ผู้ดูแลควรอัปเดต cPanel และ WHM ผ่านเมนู “Home / cPanel / Upgrade to Latest Version” ใน WHM หรือรัน /usr/local/cpanel/scripts/upcp –force ในฐานะ root ส่วน WP Toolkit ต้องอัปเกรดเป็นเวอร์ชัน 6.11.3 ขึ้นไปแยกต่างหาก หลังติดตั้งควรยืนยันเวอร์ชันที่ติดตั้ง และตรวจสอบกิจกรรมของบัญชี ฐานข้อมูล ปฏิทิน และสมุดที่อยู่ว่ามีการเข้าถึงข้ามผู้ใช้ที่อธิบายไม่ได้หรือไม่ ผู้ให้บริการควรจัดลำดับความสำคัญที่ระบบสาธารณะและระบบหลายผู้ใช้ก่อน และตรวจว่านโยบายอัปเดตอัตโนมัติไม่ได้ทำให้บางโหนดตกค้างไม่ได้รับแพตช์