«Уязвимость может эксплуатировать любой клиент»: 27 тыс. российских сайтов оказались под угрозой из-за уязвимостей cPanel

В cPanel обнаружили три уязвимости в сервисах CalDAV и CardDAV, позволяющие злоумышленникам изменять чужие базы данных, читать события календарей и получать абсолютные права. Об этом пишет The Hacker News.

cPanel — популярная платная панель управления веб-хостингом на базе операционной системы Linux, которая предоставляет графический интерфейс для администрирования сайтов и серверов.

Ранее стало известно об атаке шифровальщика Sorry ransomware на cPanel. Хакеры смогли обойти аутентификацию ПО при помощи бреши CVE-2026-41940. Уязвимость позволяла атакующим входить в панель без пароля и развертывать там шифровальщик. Сообщалось, что под угрозой находились 1,5 млн серверов, в том числе зарегистрированных в России, писал SecPost.

Исследователи заявили, что благодаря бреши CVE-2026-87899 любой авторизованный пользователь cPanel, имеющий обычный аккаунт, может запустить код с правами root (максимальный уровень привилегий в системе) и получить полный контроль над сервером. В случае, если хостинг-провайдер предоставляет учетные записи в публичный доступ, любой клиент может воспользоваться этим. При этом, как подчеркнули разработчики cPanel, сделать это можно и через получение доступа к логину клиента.

Вторая же брешь CVE-2026-87900 в плагине WP Toolkit, используемом для установки и управления сайтами WordPress, позволяет пользователю cPanel, вошедшему в систему, изменять базы данных в других учетных записях. Среди затронутых версий WP Toolkit 6.11.2-10794 и более ранние версии. Ключевая суть уязвимости состоит в том, что плагин обрабатывает команды, создающие базы данных. Известно, что плагин доступен для Plesk — другой панели управления хостингом от тех же WebPros.

Третья уязвимость CVE-2026-68490 также работает на CalDAV и CardDAV и предполагает, что пользователь может просматривать события календаря и контакты учетных записей. Брешь существует в cPanel и WHM версии 120 и более поздних версиях.

Мнение экспертов

Ведущий эксперт по управлению уязвимостями PT Expert Security Center (PT ESC) компании Positive Technologies Александр Леонов указал, что, по данным Positive Technologies, на shared-хостингах под управлением cPanel могут быть размещены около 35 миллионов веб-сайтов, 27 тыс. из которых — российские. При этом собеседник SecPost подчеркнул, что для получения root-доступа к серверу злоумышленнику достаточно всего лишь иметь аккаунт в cPanel.

«Для компании, предоставляющей услуги shared-хостинга публично и неограниченному кругу лиц, это означает, что уязвимость может эксплуатировать любой ее клиент», — указал Леонов. При этом эксперт выделил, что учетные данные для доступа к cPanel могут быть украдены злоумышленниками или приобретены на черном рынке.

Собеседник обозначил, что эксплуатация означает получение злоумышленником доступа к данным других клиентов хостинга, которые размещены на том же сервере. Такой сценарий, по мнению Леонова, может привести к утечкам персональных данных, использованию сайта для распространения вредоносного ПО и размещения незаконного контента.

Собеседник редакции, ссылаясь на ТАСС, подчеркнул, что с 31 марта 2026 года WebPros — владельцы cPanel и Plesk — прекратили обслуживание российских и белорусских хостинг-провайдеров, сославшись на требования экспортного и санкционного законодательства, а все подписки российских клиентов были аннулированы.

«В таких условиях у российских провайдеров, продолжающих использовать cPanel, могут возникнуть дополнительные сложности со своевременным обновлением этого ПО», — подчеркнул серьезность проблемы Леонов.

Проджект-менеджер ГК Softline (MD Audit) Кирилл Левкин, в свою очередь, указал, что если провайдер пользуется cPanel и на сервере есть пользовательские аккаунты, опасность для него актуальна независимо от страны. Для shared-хостингов, по мнению собеседника, эта угроза представляет наиболее существенный риск, поскольку на одном сервере хостинга находится несколько клиентов: «Если уязвимость позволяет обычному пользователю выйти на уровень root, то потенциальная проблема уже не ограничивается его собственным аккаунтом».

Эксперт уточнил, что если через уязвимость удается получить root, границы между аккаунтами перестают быть надежными. Левкин выделил, что это особо опасно для бизнеса в том случае, если на сервере вместе с сайтом находятся базы данных, почта или другие сервисы. «Поэтому клиенту shared-хостинга в такой ситуации необходимо не только спросить провайдера, обновлен ли cPanel, но и уточнить, проверялся ли сервер после установки обновления», — заключил собеседник.

Руководитель департамента аудита и консалтинга компании F6 Евгений Янов объяснил, что уязвимости в самом деле представляют собой серьезную проблему, поскольку любой пользователь хостинга cPanel может захватить сервер, на котором она установлена. При этом эксперт подчеркнул, что уязвимости затрагивают новые версии ПО, самая свежая из которых была выпущена 14 сентября.