SQLi EmailTrack cPanel ke Root RCE (CVE-2026-67401)

Pada 8 September 2026, cPanel menerbitkan advisory keselamatan untuk CVE-2026-67401. Kelemahan ini berada dalam fungsi EmailTrack dan, menurut cPanel, akaun hosting yang sah dengan keistimewaan mail tertentu boleh menyalahgunakannya untuk mendapatkan code execution sebagai root.

Rekod CVE dengan penilaian CVSS pula muncul pada 9 September. Kalau anda menguruskan cPanel atau WHM, khususnya persekitaran shared hosting dan multi-tenant, ini bukan isu yang elok ditangguhkan.

Apa yang disahkan oleh cPanel

Menurut advisory cPanel, pemegang akaun cPanel yang sah dan mempunyai mail-related privileges boleh menggunakan fungsi EmailTrack untuk mencipta fail sewenang-wenangnya pada server.

Jika eksploitasi berjaya, penyerang boleh menjalankan kod sebagai root. Pada tahap ini, isu tersebut bukan lagi sekadar akses kepada satu fungsi atau satu akaun hosting — proses yang berjalan sebagai root mempunyai tahap akses tertinggi pada server.

cPanel turut memberikan kredit kepada Ali Mustafa (rz1027) dan abed1526 atas responsible disclosure.

Ada beberapa perkara yang sengaja tidak kita andaikan daripada advisory itu. cPanel tidak memberikan severity score dalam advisory, tidak menyatakan sebarang langkah mitigasi sementara untuk server yang belum boleh dikemas kini, dan tidak membuat kenyataan sama ada kelemahan ini sedang dieksploitasi di alam liar.

Apa yang ditambah oleh rekod CVE

Rekod CVE diterbitkan pada 9 September 2026 dan menyatakan tarikh tempahan CVE sebagai 29 Julai 2026.

Rekod tersebut mengklasifikasikan kelemahan ini sebagai CWE-89 (SQL Injection) dan memberikan skor asas CVSS v3.0 9.9 (Critical) dengan vector:

CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Secara ringkas, vector itu menunjukkan bahawa serangan boleh dilakukan melalui rangkaian dengan kerumitan rendah, memerlukan privileges yang rendah, tidak memerlukan interaksi pengguna, dan boleh menghasilkan impak tinggi terhadap kerahsiaan, integriti serta ketersediaan.

Satu perkara penting untuk bezakan sumber: skor 9.9 dan klasifikasi CWE-89 datang daripada rekod CVE, bukan advisory cPanel. Advisory vendor hanya menerangkan kelemahan dan kesannya tanpa memberikan skor CVSS.

Versi yang terjejas dan build yang sudah ditampal

cPanel menyatakan bahawa semua versi yang disokong terjejas.

Build yang mengandungi pembaikan ialah:

11.110.0.143
11.134.0.55
11.136.0.39
11.138.0.4
WP2: 11.138.1.9

Rekod CVE turut menyenaraikan sempadan versi yang sepadan untuk branch itu.

Untuk semak versi cPanel pada server, anda boleh jalankan:

cat /usr/local/cpanel/version

Atau semak maklumat server melalui WHM.

Jika build anda masih berada di bawah build yang telah ditampal untuk branch itu, server itu perlu dikemas kini. Rujuk panduan update cPanel/WHM untuk proses kemas kini.

Kenapa isu ini penting untuk shared hosting

Bahagian ini ialah analisis berdasarkan fakta vendor dan rekod CVE, bukan kenyataan terus daripada cPanel.

Dalam shared hosting, pelanggan biasanya dihadkan kepada akaun mereka sendiri. Mereka tidak sepatutnya boleh menjalankan kod dengan keistimewaan root atau mengakses sumber milik pelanggan lain.

Di sinilah kesan CVE-2026-67401 menjadi serius.

Serangan bermula dengan akaun yang sudah mempunyai credentials dan mail-related privileges. Jika kelemahan itu berjaya dieksploitasi sehingga code execution sebagai root, batas antara akaun hosting dan sistem hos boleh hilang sepenuhnya.

Namun, kita perlu berhati-hati dengan sejauh mana kesan itu boleh dinyatakan. Advisory cPanel mengesahkan code execution sebagai root, tetapi tidak memberikan senarai aset yang pasti akan terjejas selepas root diperoleh. Jadi dakwaan seperti “semua akaun dalam server, credentials dan keseluruhan mail storage pasti boleh dicuri” tidak patut ditulis sebagai fakta tanpa bukti tambahan.

Vector CVSS memberikan sedikit konteks tentang model serangan: PR:L menunjukkan keperluan terhadap privileges yang rendah, manakala UI:N menunjukkan serangan tidak memerlukan interaksi daripada pengguna lain.

Itu menjadikan pengurusan credentials dan patching sama-sama penting bagi operator shared hosting.

Apa yang patut dibuat oleh pentadbir

Kalau anda menguruskan server cPanel atau WHM, keutamaan pertama ialah semak build dan pasang kemas kini yang berkaitan.

Selepas patching, jangan terus anggap bahawa server selamat hanya kerana versi sudah dikemas kini. Patch membaiki kelemahan; ia tidak membuktikan bahawa kelemahan itu tidak pernah dieksploitasi sebelum patch dipasang.

Jika server mempunyai akaun yang berpotensi memenuhi syarat eksploitasi, log dan aktiviti mencurigakan sebelum waktu patch juga wajar diperiksa mengikut kemampuan monitoring anda.

Ini lebih penting pada shared hosting kerana satu server boleh menempatkan banyak akaun dan aplikasi pelanggan yang berbeza.

Adakah CVE ini sedang dieksploitasi?

Setakat semakan pada 9 September 2026, rekod CVE yang mempunyai penilaian CISA SSVC menyatakan exploitation sebagai "none". CVE ini juga belum disenaraikan dalam katalog KEV CISA pada masa semakan dibuat.

Laporan The Hacker News yang dirujuk dalam semakan ini juga tidak melaporkan exploit code awam atau bukti eksploitasi ketika laporan itu diterbitkan.

Tetapi status ini perlu dibaca dengan konteks masa.

"Tiada bukti eksploitasi setakat semakan" bukan bermaksud "kelemahan ini tidak akan dieksploitasi". Maklumat tentang kelemahan yang membolehkan code execution sebagai root boleh mengubah keadaan dengan cepat selepas advisory dan butiran teknikal tersebar.

Sebagai contoh, CVE lain dalam cPanel, iaitu CVE-2026-41940, kemudiannya dimasukkan ke dalam katalog KEV CISA. Itu bukan bukti bahawa CVE-2026-67401 sedang dieksploitasi, tetapi ia menunjukkan kenapa operator tidak sepatutnya menunggu status KEV sebelum mengambil tindakan.

Satu lagi batasan penting: advisory cPanel ini tidak menyediakan indicator of compromise khusus. Jadi jika anda menguruskan server yang belum ditampal ketika kelemahan ini didedahkan, patching dan pemeriksaan kemungkinan kompromi perlu dilihat sebagai dua kerja berasingan.

Apa yang kita tahu — dan apa yang masih belum diketahui

Kesimpulan

CVE-2026-67401 bukan sekadar isu SQL injection biasa. Berdasarkan advisory cPanel, eksploitasi yang berjaya boleh membawa kepada code execution sebagai root daripada akaun yang mempunyai privileges yang diperlukan.

Untuk operator cPanel/WHM, langkah paling jelas ialah semak build dan kemas kini ke versi yang telah ditampal.

Selepas itu, barulah buat semakan log dan aktiviti server untuk tempoh sebelum patch. Patch menutup lubang; ia tidak menjawab persoalan sama ada lubang itu pernah digunakan.

Dan untuk perkara yang belum diketahui — status eksploitasi, public exploit dan indikator kompromi — lebih baik kita kekalkan jawapan berdasarkan bukti yang ada pada tarikh semakan daripada membuat andaian.

Sumber

• cPanel: Security: CVE-2026-67401 SQL Injection Vulnerability in cPanel's EmailTrack Functionality - September 8, 2026
• CVE Program (HackerOne CNA, CISA ADP): Rekod CVE-2026-67401 (CVSS 9.9, CWE-89, CISA SSVC)
• The Hacker News: New cPanel Flaw Lets a Hosting Account With Mail Privileges Run Code as Root