LONDON (IT BOLTWISE) – cPanel hat eine kritische Lücke gepatcht, die laut Advisory einem einzelnen Hosting-Account mit Mail-bezogenen Rechten die Kontrolle über einen ganzen Server ermöglichen kann. Über den EmailTrack-Mechanismus soll der Angreifer Dateien im Zielsystem erstellen und daraus anschließend Root-Code ausführen können. Betroffen sind alle unterstützten cPanel-/WHM-Versionen; das Update wurde für mehrere Release-Linien veröffentlicht. Offen bleibt dabei, welches konkrete Feature oder welche genaue Berechtigung die Kette von der SQL-Injection bis zum Root-Zugriff auslöst.
Wenn ein einzelner Hosting-Account im Alltag „nur“ einen Webspace verwalten soll, ist die Hürde bis zum Root-Zugriff eigentlich sehr hoch. Genau an dieser Stelle setzt die neue Schwachstelle bei cPanel an: Laut dem am 8. September veröffentlichten Advisory kann ein authentifizierter Nutzer mit mailbezogenen Privilegien über EmailTrack Dateien nach Wunsch auf dem Server anlegen. Von dort aus soll es dann möglich sein, Code mit Root-Rechten auszuführen. Die Brisanz liegt nicht darin, dass ein konkretes Webseiten-Plugin angegriffen wird, sondern dass die eigentliche Kontrollgrenze zwischen Kunden-Account (cPanel) und Server-Verwaltung (WHM) potenziell durchbrochen wird.
Technisch beschreibt cPanel die Ursache als SQL-Injection in EmailTrack. Interessant ist jedoch, dass die Advisory keine Details dazu liefert, welches konkrete cPanel-Feature oder welcher exakte Rechteumfang dafür notwendig ist. In den verfügbaren Entwicklerunterlagen taucht ein EmailTrack-Modul auf, das E-Mail-Statistiken erfasst; ob genau dieser Codepfad betroffen ist, geht aus der Meldung nicht eindeutig hervor. Für Administratoren bedeutet das: Selbst wenn ein System die betroffenen Versionsnummern sauber aktualisiert, bleibt die Frage offen, welche interne Abfolge die Injection tatsächlich in Datei-Operationen und anschließend in Root-Ausführung transformiert. Gerade weil die Kette nicht erklärt wird, sollten Teams auch ohne sichtbare Ausnutzung die eigenen Berechtigungsmodelle und die Nutzung von EmailTrack im Blick behalten.
cPanel weist zudem darauf hin, dass der Update-Zeitpunkt organisatorisch nicht immer deckungsgleich mit allen Release-Prozessen ist. Laut Anleitung kann ein Server aus WHM heraus unter „Home / cPanel / Upgrade to Latest Version“ aktualisiert werden; auf der Kommandozeile lautet der empfohlene Weg, sich als root anzumelden und den Befehl „/usr/local/cpanel/scripts/upcp –force“ auszuführen. Als konkrete Fixes nennt cPanel Builds für die Release-Linien 11.110, 11.134, 11.136 und 11.138. Für 11.110 liegt der korrigierte Stand bei 11.110.0.143, für 11.134 bei 11.134.0.55, für 11.136 bei 11.136.0.39 und für 11.138 bei 11.138.0.4; außerdem wird für „WP Squared“ eine weitere fixierte Variante genannt (11.138.1.9). Ergänzend deutet das Advisory darauf hin, dass die betroffenen Linien 11.118 und 11.126 bereits in früheren Meldungen adressiert wurden, dort aber später nicht mehr als „aktuell“ geführt werden – und unklar bleibt, ob diese Linien in der Praxis noch aktiv unterstützt werden.
Auch die CVE-Angaben zeichnen ein differenziertes Bild. Für die August-Lücke, die zum selben Themenkomplex gezählt wird, nennt der CVE-Eintrag die betroffenen Versionen als 11.112.0.0 bis einschließlich „nicht 11.134.0.53“, ohne eine Fix-Build-Angabe für die Linien 118 oder 126. Bei der konkreten Lücke CVE-2026-67401 nennt die Advisory hingegen keinen Schweregrad-Score. Laut Beschreibung werden Scores bei neueren CVEs über einen separaten Prozess vergeben und erscheinen im CVE-Record statt in der eigentlichen Advisory; für die August-Lücke findet sich im CVE-Record ein CVSS-Wert von 8,7 von 10, der auf „hohe Schwere“ hindeutet. Zum Zeitpunkt der Überprüfung war CVE-2026-67401 nicht im „Known Exploited Vulnerabilities“-Katalog einer US-Sicherheitsbehörde in der am 8. September veröffentlichten Version verzeichnet, und öffentlich auffindbare Exploit-Dokumentationen oder Berichte über aktive Ausnutzung waren in den damaligen Suchanfragen nicht sichtbar. Diese Abwesenheit von Signalen ist aber keine Garantie: Auch eine zuvor bekannt gewordene cPanel-Schwachstelle, die im April als Authentifizierungsbypass ohne Account-Bedarf beschrieben wurde, tauchte später in der gleichen Kategorie für nachweislich genutzte Schwachstellen auf – das zeigt, wie schnell sich Lagebilder ändern können.
Ein weiterer Kontextpunkt ist, dass das Thema nicht „isoliert“ im Sinne von Einzeldatenbankfehlern zu betrachten ist. Zwei weitere cPanel-Lücken, die seit Ende Juli veröffentlicht wurden, starten ebenfalls von einem gewöhnlichen Hosting-Account und enden in einer deutlich höheren Berechtigungsschicht: Eine am 30. Juli adressierte Datenbanklücke soll einem Account mit Zugriff auf die Datenbankfunktion erlauben, Datenbank-Kommandos mit administrativen Privilegien auszuführen. Die im August beschriebene Schwachstelle im Zusammenhang mit Domain Parking soll ebenfalls in Code-Ausführung mit Root-Rechten münden. Für beide berichteten Fehler gab es nach Angaben aus der Recherche offenbar zeitweise öffentlich zugängliche Proof-of-Concept- oder Exploit-nahe Repositories, als nach den ersten Meldungen durchsucht wurde. Gerade deshalb ist das Fehlen einer klaren „Do this meanwhile“-Anleitung für Systeme, die nicht sofort aktualisieren können, ein operatives Risiko: Selbst wenn die technische Grundlage des Fixes im Update enthalten ist, fehlen in der Advisory konkrete Zwischenmaßnahmen wie sie bei früheren Datenbankfehlern erwähnt wurden (etwa temporäres Entfernen einer MySQL-Komponente aus cPanel-Nutzerbereichen).
Für die Praxis in Rechenzentren und bei Hosting-Anbietern ist die zentrale Lehre relativ klar: cPanel-/WHM-Updates müssen nicht nur als „Routine-Patch“, sondern als potenziell privilegienüberschreitender Eingriff behandelt werden. Wenn ein Bug den Weg vom Account-Context in die Serververwaltung findet, sind Incident-Prozesse wie Root-File-Integritätschecks, Datenbank- und Nutzerverzeichnishygiene sowie die Überprüfung auf ungewöhnliche Artefakte besonders wichtig. Zusätzlich sollten Betreiber die eigene Exposure durch Mail-Funktionen und die Nutzung von EmailTrack prüfen: Auch ohne dass die Advisory die notwendige Privileg-Stufe konkret ausweist, ist es plausibel, dass nur bestimmte Konfigurationen oder Modulaktivierungen die Angriffsoberfläche schmaler oder breiter machen. Wer außerdem schon von ähnlichen cPanel-Lücken betroffen war, sollte den Update-Schritt als „Start“ und nicht als „Abschluss“ verstehen, weil die Advisory selbst keine Aussage dazu macht, wie ein nachträglicher Fix frühere Kompromittierungen neutralisiert. In Summe zeigt die Meldung: Der Weg zur nächsten Serverübernahme verläuft in der Praxis selten über exotische Angriffsflächen, sondern häufig über genau jene Funktionen, die im Hosting-Alltag als selbstverständlich gelten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Neue cPanel-Sicherheitslücke ermöglicht Root-Code über Mail-Tracking (CVE-2026-67401)" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Neue cPanel-Sicherheitslücke ermöglicht Root-Code über Mail-Tracking (CVE-2026-67401)" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Neue cPanel-Sicherheitslücke ermöglicht Root-Code über Mail-Tracking (CVE-2026-67401)« bei Google Deutschland suchen, bei Bing oder Google News!