شرکت cPanel اخیراً سه آسیب‌پذیری امنیتی جدید را شناسایی و رفع کرده است که جداسازی مستاجران (Tenant Isolation) در سرورهای اشتراکی (Shared Hosting) را هدف قرار می‌دهند. یکی از این حفره‌ها، دسترسی غیرمجاز به تقویم‌ها و مخاطبین سایر کاربران را ممکن می‌ساخت.
تحلیل آسیب‌پذیری CVE-2026-68490
این آسیب‌پذیری ناشی از تنظیمات نادرست دسترسی (Permissions) در قابلیت‌های CalDAV و CardDAV است. یک کاربر محلی که به سرور دسترسی دارد، می‌تواند از این ضعف برای خواندن رویدادهای تقویم و اطلاعات مخاطبین سایر حساب‌های cPanel استفاده کند. اگرچه این نقص اجازه تغییر داده‌ها یا دسترسی Root را نمی‌دهد، اما افشای نام‌ها، ایمیل‌ها و برنامه‌های کاری می‌تواند بستر مناسبی برای حملات Phishing و مهندسی اجتماعی فراهم کند.
ارتقای سطح دسترسی و اجرای کد (CVE-2026-87899)
خطرناک‌تر از مورد قبلی، آسیب‌پذیری CVE-2026-87899 است. در این مورد، هر کاربر احراز هویت شده در cPanel می‌تواند سطح دسترسی خود را ارتقا داده و کد را با دسترسی Root اجرا کند. این نقص امنیتی می‌تواند منجر به کنترل کامل سرور توسط مهاجم شود.
ریسک‌های مربوط به WP Toolkit (CVE-2026-87900)
آسیب‌پذیری سوم مربوط به مدیریت دستورات ایجاد پایگاه داده در WP Toolkit است. یک کاربر وارد شده می‌تواند پایگاه‌های داده متعلق به سایر حساب‌ها را تغییر دهد که این موضوع ریسک جدی برای یکپارچگی داده‌ها در میزبانی‌های وردپرس ایجاد می‌کند.
راهکارهای مقابله و به‌روزرسانی
- نسخه‌های آسیب‌پذیر: نسخه‌های 120 و بالاتر cPanel و WHM.
- نسخه‌های اصلاح شده: نسخه‌های 11.134.0.57، 11.136.0.41، 11.138.0.8 و WP Squared 11.138.1.11 یا جدیدتر.
- به‌روزرسانی WP Toolkit: ارتقا به نسخه 6.11.3 یا بالاتر برای کامپوننت wp-toolkit-cpanel.
مدیران سرور توصیه می‌شوند از طریق منوی Upgrade to Latest Version در WHM یا اجرای دستور /usr/local/cpanel/scripts/upcp –force با دسترسی Root، سیستم‌های خود را به‌روزرسانی کنند.
