Với nhà cung cấp shared hosting, kịch bản đáng sợ nhất là một khách hàng bình thường leo được lên quyền root. Ngày 22/9/2026, cPanel phát hành bản vá cho CVE-2026-87899, lỗi trong chức năng lịch và danh bạ CalDAV/CardDAV cho phép đúng điều đó. Cùng đợt còn có hai lỗi khác ảnh hưởng tới dữ liệu giữa các tài khoản. Từ tháng 8 tới nay, cPanel đã liên tục vá các lỗi leo thang lên root, nên các máy chủ chưa bật cập nhật tự động cần được kiểm tra lại.

Tóm tắt nhanh

  • Ai bị ảnh hưởng: máy chủ cPanel & WHM từ v120 trở lên chưa lên bản vá, cùng WP Squared. Nhóm rủi ro cao nhất là shared hosting và reseller có nhiều tài khoản.
  • Mức độ: CVSS 4.0 là 9.4 (Critical), CVSS 3.1 là 8.8 (High). Kẻ tấn công cần một tài khoản cPanel đã đăng nhập.
  • Đã bị khai thác chưa: theo Feedly và Hexnode, chưa có bằng chứng khai thác thực tế hay mã khai thác công khai. Theo Witscode, tính đến 23/9 lỗi chưa có trong danh mục KEV của CISA.

Ba lỗi trong đợt vá ngày 22/9

CVE-2026-87899 được mô tả là lỗi "thực thi với đặc quyền không cần thiết" (CWE-250) trong cPanel. Nó cho phép người dùng từ xa đã xác thực chạy mã tùy ý với quyền root, thông qua dịch vụ CalDAV/CardDAV. NVD đăng chi tiết ngày 23/9. Hai lỗi đi kèm gồm:

  • CVE-2026-68490 (CVSS 8.2): lỗi phân quyền trong CalDAV/CardDAV. Người dùng cục bộ trên cùng máy chủ có thể đọc lịch và danh bạ của các tài khoản cPanel khác. Lỗi không cho quyền root hay quyền sửa dữ liệu.
  • CVE-2026-87900: lỗi trong WP Toolkit cho phép một người dùng cPanel thay đổi cơ sở dữ liệu của tài khoản khác. Ảnh hưởng WP Toolkit 6.11.2-10794 trở về trước.

Trước đó, ngày 8/9, cPanel đã công bố một lỗi khác cho phép tài khoản có quyền liên quan tới mail tạo tệp tùy ý qua EmailTrack rồi chạy mã với quyền root. The Hacker News và các trang tổng hợp ghi lỗi này là CVE-2026-67401. Trước nữa còn có CVE-2026-65643 liên quan Park API, được các nguồn ghi là vá vào cuối tháng 8 hoặc ngày 1/9. Nếu máy chủ của bạn đã lâu không cập nhật, bản mới nhất sẽ vá cùng lúc tất cả các lỗi này.

Phiên bản bị ảnh hưởng và phiên bản vá

Sản phẩmBị ảnh hưởngPhiên bản vá
cPanel & WHM nhánh 134Từ v120, trước 11.134.0.5711.134.0.57 trở lên
cPanel & WHM nhánh 136Trước 11.136.0.4111.136.0.41 trở lên
cPanel & WHM nhánh 138Trước 11.138.0.811.138.0.8 trở lên
WP SquaredTrước 11.138.1.1111.138.1.11 trở lên
WP Toolkit (CVE-2026-87900)6.11.2-10794 trở về trước6.11.3 trở lên

Hexnode viết các số phiên bản không có tiền tố "11." (ví dụ 134.0.57), trong khi advisory và Feedly dùng dạng đầy đủ 11.134.0.57. Hai cách ghi chỉ cùng một bản.

Kiểm tra phiên bản và cập nhật

Đăng nhập SSH với quyền root rồi chạy:

# Phiên bản cPanel & WHM đang chạy
/usr/local/cpanel/cpanel -V

# Kiểm tra nhánh và chế độ cập nhật đã đặt
cat /etc/cpupdate.conf

# Cập nhật lên bản mới nhất trong nhánh
/usr/local/cpanel/scripts/upcp

# Nếu bản cập nhật bình thường không chạy, buộc cập nhật lại
/usr/local/cpanel/scripts/upcp --force

# Phiên bản WP Toolkit
rpm -q wp-toolkit-cpanel

Bạn cũng có thể cập nhật trong WHM tại Home > cPanel > Upgrade to Latest Version. Theo các nguồn, bản cập nhật còn tự sửa lại quyền lịch và danh bạ của các tài khoản hiện có.

Nếu /etc/cpupdate.conf đặt UPDATES=manual hoặc never, máy chủ của bạn sẽ không tự nhận bản vá. Hãy chuyển về daily cho các bản bảo mật.

Việc cần làm ngay

Với chủ VPS và máy chủ cPanel

  1. Kiểm tra phiên bản. Nếu thấp hơn bản vá trong bảng, chạy upcp ngay và kiểm tra lại.
  2. Cập nhật WP Toolkit lên 6.11.3 trở lên, kiểm tra riêng với cPanel.
  3. Xóa các tài khoản cPanel không còn dùng, và rà soát quyền reseller.
  4. Giữ log và kiểm tra dấu hiệu bất thường: tiến trình root lạ, cron mới, khóa SSH lạ trong /root/.ssh/authorized_keys, thay đổi chéo giữa các tài khoản.
  5. Nếu xác nhận bị xâm nhập, cô lập máy chủ và đổi mật khẩu root, API token WHM cùng các khóa SSH từ một máy tính sạch.
  6. Không có workaround tạm thời. Nếu chưa thể nâng cấp, hãy hạn chế tạo tài khoản mới và theo dõi chặt các tài khoản hiện có.

Với khách hàng shared hosting

  • Bạn không tự vá được. Hãy hỏi nhà cung cấp đã cập nhật cPanel lên bản sau ngày 22/9 chưa. Phiên bản thường hiện ở cột thông tin bên phải giao diện cPanel.
  • Đặt mật khẩu cPanel mạnh, bật xác thực hai lớp (Two-Factor Authentication) trong mục Security, và xóa các tài khoản FTP, email không còn dùng.
  • Giữ bản sao lưu website ở nơi khác. Một máy chủ bị chiếm root có thể ảnh hưởng tới mọi website trên đó.

Nguồn tham khảo