یک آسیب‌پذیری امنیتی بسیار بحرانی با شناسه CVE-2026-43641 در نرم‌افزار Softaculous Virtualizor شناسایی شده است که به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، دستورات دلخواه خود را با دسترسی سطح root اجرا کنند.
تحلیل فنی آسیب‌پذیری
این نقص امنیتی از نوع OS Command Injection (CWE-78) است و در بخش مدیریت ماژول صورت‌حساب (Billing Module Handler) رخ می‌دهد. مهاجم می‌تواند با ارسال یک درخواست POST دست‌کاری شده در فیلد billing_data، فرآیند Deserialization را دور زده و از طریق فیلد uid، دستورات مخرب (Shell Payloads) را تزریق کند. این فیلد بدون هیچ‌گونه اعتبارسنجی به تابع proc_open() از طریق vexec() ارسال می‌شود که منجر به اجرای کد با بالاترین سطح دسترسی در سیستم‌عامل می‌گردد.
تاثیرات امنیتی (Impact)
- دسترسی کامل: مهاجم می‌تواند کنترل کامل میزبان (Host) و تمامی نمونه‌های VPS مدیریت شده توسط آن را در دست بگیرد.
- عدم نیاز به تعامل: برای بهره‌برداری از این نقص، هیچ تعاملی از سوی کاربر (User Interaction) مورد نیاز نیست.
- دسترسی از راه دور: حمله از طریق شبکه و تنها با دسترسی به رابط کاربری پنل یا بخش Billing قابل اجرا است.
نسخه‌های آسیب‌پذیر و راهکارهای مقابله
این آسیب‌پذیری نسخه‌های پیش از 3.2.9 (Patch 9) و شاخه 3.0.0 را تحت تاثیر قرار داده است. با توجه به وجود اکسپلویت‌های عمومی (Public Exploit)، اقدامات زیر برای مدیران SOC و مهندسین امنیت توصیه می‌شود:
- به‌روزرسانی فوری: ارتقای سیستم به نسخه 3.2.9 Patch 9 یا نسخه 3.3.0.
- کنترل دسترسی: در صورتی که به‌روزرسانی فوری امکان‌پذیر نیست، دسترسی شبکه به رابط کاربری پنل و Billing تنها به رنج‌های IP مورد اعتماد (Trusted Administrative Ranges) محدود شود.
- لایه فیلترینگ: قرار دادن میزبان در پشت یک لایه فیلترینگ یا WAF برای شناسایی و مسدودسازی درخواست‌های مشکوک.
