Cpanel

SOCRadar พบเซิร์ฟเวอร์ 7 เครื่องของพันธมิตรแรนซัมแวร์ INC และ The Gentlemen ที่เปิดเข้าถึงได้สาธารณะ ภายในมีบทสนทนากับ AI 8,257 ข้อความใน 133 เซสชัน ซอร์สโค้ด ข้อมูลรับรองที่ขโมยมา และตัวเข้ารหัส INC ที่ปรับแต่งเฉพาะเหยื่อ 46 ตัว ผู้โจมตีใช้ OpenCode กับโมเดลผ่าน OpenRouter วางแผนสอดแนม สร้างคำสั่ง และร่างข้อความขู่กรรโชก โดยมนุษย์ยังอนุมัติทุกขั้น บันทึกระบุการเจาะ FortiClient EMS, SimpleHelp และ cPanel พบองค์กรเกี่ยวข้อง 62 แห่ง

cPanel ออกแพตช์อุด 3 ช่องโหว่ที่กระทบการแยกผู้เช่าบนเซิร์ฟเวอร์โฮสติงแบบแชร์. CVE-2026-68490 เกิดจากสิทธิ์ผิดพลาดใน CalDAV/CardDAV ทำให้ผู้ใช้เครื่องเดียวกันอ่านปฏิทินและรายชื่อของบัญชีอื่นได้. CVE-2026-87899 ร้ายแรงกว่า เปิดให้บัญชีที่ยืนยันตัวแล้วยกระดับเป็น root และรันโค้ดยึดเซิร์ฟเวอร์. CVE-2026-87900 ใน WP Toolkit ให้ผู้ใช้แก้ฐานข้อมูลของบัญชีอื่น. ทั้งหมดกระทบเวอร์ชัน 120 ขึ้นไป ควรอัปเดตทันที.

บริษัท cPanel เตือนช่องโหว่ร้ายแรงใน LiteSpeed Web Server Enterprise ที่เปิดทางให้ผู้ใช้เว็บสิทธิ์ต่ำบนเซิร์ฟเวอร์แบบแชร์โฮสต์ยกระดับเป็น root ข้ามการแยกบัญชีรวมถึง CageFS ได้ กระทบเวอร์ชันก่อน 6.3.7 และแนะนำให้อัปเดตทันที ทั้งสองบริษัทยังไม่เปิดเผยกลไกช่องโหว่ และยังไม่มี CVE หรือคะแนนความรุนแรง นับเป็นครั้งที่สามตั้งแต่พฤษภาคมที่ช่องโหว่ LiteSpeed บนเซิร์ฟเวอร์ cPanel ยกสิทธิ์เป็น root

cPanel ออกประกาศความปลอดภัยเมื่อวันที่ 8 กันยายน 2569 แก้ช่องโหว่ CVE-2026-67401 ที่เปิดทางให้บัญชีโฮสติงซึ่งมีสิทธิ์เกี่ยวกับอีเมลสร้างไฟล์บนเซิร์ฟเวอร์ผ่าน EmailTrack แล้วรันโค้ดด้วยสิทธิ์ root ประกาศระบุว่ากระทบ cPanel และ WHM ทุกเวอร์ชันที่ยังรองรับ และให้อัปเดตเป็นบิลด์ที่แก้แล้วในสาย 11.110 ถึง 11.138 รวมทั้ง WP Squared ประกาศไม่ให้คะแนนความรุนแรง ไม่อธิบายกลไก และไม่มีมาตรการชั่วคราวสำหรับเครื่องที่ยังอัปเดตไม่ได้ จนถึงวันที่ 9 กันยายนยังไม่พบโค้ดโจมตีสาธารณะ

cPanel ออกแพตช์แก้ช่องโหว่ร้ายแรง CVE-2026-65643 ในฟังก์ชันจอดโดเมนและโดเมนเสริมของ cPanel และ WHM ซึ่งกระทบทุกเวอร์ชันที่ยังรองรับ ผู้ถือบัญชีที่ล็อกอินได้และมีสิทธิ์เพิ่มโดเมนสามารถสร้างไฟล์บนเซิร์ฟเวอร์ได้ตามใจจนนำไปสู่การรันโค้ดในสิทธิ์ root และควบคุมเครื่องทั้งเครื่อง ประกาศแจ้งลูกค้าไม่มีคะแนน CVSS ไม่มีมาตรการชั่วคราว และไม่มีวิธีตรวจว่าเซิร์ฟเวอร์ถูกเจาะไปแล้วหรือยัง

นักวิจัยเปิดโปงแคมเปญขนาดใหญ่ที่เปลี่ยน GitHub repository ที่ถูกเจาะให้กลายเป็นโครงสร้างพื้นฐานโจมตีแบบกระจาย ผู้โจมตียัด workflow อันตรายลงในแพ็กเกจ PHP บน Packagist 10 ตัว เมื่อ workflow ทำงานจะเรียก GitHub-hosted runner ดาวน์โหลดเพย์โหลด Linux มาสแกนหาเซิร์ฟเวอร์ cPanel และ WHM ที่มีช่องโหว่ CVE-2026-41940 ซึ่งเป็นช่องโหว่ข้ามการยืนยันตัวตน จากนั้นกวาดข้อมูลประจำตัวและกุญแจลับต่างๆ พบไฟล์ workflow กว่า 6,100 ไฟล์บ่งชี้ว่าแคมเปญกว้างกว่าที่พบ

CISA เพิ่มช่องโหว่ CVE-2026-54420 ใน LiteSpeed cPanel Plugin เข้าบัญชี KEV หลังพบการโจมตีจริง ช่องโหว่นี้มีคะแนน CVSS 8.5 ช่วยให้ผู้โจมตีที่มี FTP หรือ web shell access บน shared hosting ที่ใช้ CloudLinux/CageFS ยกระดับสิทธิ์เป็น root ผ่านการใช้ symlink ที่ไม่ถูกต้อง หน่วยงานรัฐบาลกลางสหรัฐฯ ต้องแพตช์ภายในวันที่ 18 มิถุนายน

ช่องโหว่ CVE-2026-41940 (CVSS 9.8) ใน cPanel/WHM เป็น authentication bypass ผ่าน CRLF injection ถูกใช้โจมตีจริงตั้งแต่ก่อนเปิดเผย กลุ่ม Mr_Rot13 ฝัง Filemanager backdoor เปลี่ยน root password และขโมย credentials มี IP ผู้โจมตีกว่า 2,000 แห่งสแกนหาเซิร์ฟเวอร์ที่ยังไม่แพตช์