Sprint-ul Săptămânal de Securitate la cPanel: Cinci CVE-uri Patch-uite, Dar Unul Deja Compromis

Dacă administrezi servere cu cPanel, ai observat probabil ritmul alert al update-urilor de securitate. Nu e un ritm liniștit, ci unul care sună alarma constant.

Pe 13 mai, cPanel și WHM au lansat corecții pentru cinci CVE-uri noi, din categorii variate. Problema mare? La scurt timp, cercetătorul Shubham Shah a arătat public că unul dintre patch-uri nu rezolvă cu adevărat vulnerabilitatea. Hai să vedem detaliile și impactul asupra setup-ului tău de hosting.

Cele Cinci Vulnerabilități: Cele Mai Rău Posibile Scenarii

Update-ul din 13 mai acoperă cinci tipuri de probleme, toate cu severitate High și scoruri CVSS până la 8.6. Le luăm pe rând:

CVE-2026-29205 (Patch-ul Deficitar)

Cea mai gravă. Un atacator fără autentificare citește fișiere arbitrare prin endpoint-urile de download attachment din cpdavd, din cauza filtrării proaste a căilor și gestionării privilegiilor. CVSS: 8.6. Patch-ul? Nu-l repară complet, deci rămâi expus post-update.

CVE-2026-29206 (SQL Injection în sqloptimizer)

Injecție SQL la nivel root în utilitarul sqloptimizer, activată la logarea query-urilor lente. Necesită interacțiune user, dar potențialul de daună e uriaș. CVSS: 8.1.

CVE-2026-32991 (Escaladare Privilegii în Team Manager)

În medii multi-tenant cu Team Manager, membrii echipei se pot promova singuri la owner. CVSS: 7.1. Dacă revinzi conturi cPanel, te lovește direct.

CVE-2026-32992 (SSL Dezactivat în DNS Cluster)

Verificarea SSL a fost oprită în sistemul DNS Cluster. Rezultat: un atacator man-in-the-middle pe rețeaua internă fură credentiale. CVSS: 8.2. Genul de bug care stresează echipele de securitate.

CVE-2026-32993 (CRLF Injection)

Injecție CRLF fără autentificare în endpoint-ul /unprotected/nova_error, permițând manipularea headerelor. Aceeași clasă ca în campania ransomware .sorry din aprilie. CVSS: 8.3.

Problema Reală: Patch-uri sub Presiune

Echipa cPanel a anunțat pe Reddit un ciclu de "release-uri săptămânale de securitate" în timp ce scanează sistemele. Cronologia confirmă: 28 aprilie, 8 mai, 13 mai – și altul iminent.

Ritmul ăsta arată clar: WebPros e în modul de urgență. Găsesc vulnerabilități și le patch-uiesc rapid. E mai bine decât să le ignore, dar presiunea duce la erori, cum s-a văzut la CVE-2026-29205.

Ce Faci Imediat

1. Nu te baza orbește pe patch-uri. Instalează update-urile din 13 mai pentru linia ta de versiune cPanel/WHM, dar ține cont că CVE-2026-29205 cere atenție extra.

2. Prioritizează CVE-2026-29205. Citirea fișierelor fără autentificare e exploatabilă acum. Verifică accesările suspecte pe instanțele cPanel, mai ales la endpoint-urile /dav.

3. Actualizează Totul. Incluse sunt și platformele WP Squared. Patch-urile din 13 mai acoperă întreg ecosistemul WebPros.

4. Verifică Versiunea. Corecțiile merg de la 11.86 la 11.136. Pe CloudLinux 6, treci întâi la tier-ul cl6110.

5. Așteaptă Patch-ul Bun. Fix-ul real pentru CVE-2026-29205 vine curând. Tratează-l ca pe o prioritate critică.

Imaginea de Ansamblu

Nu e un caz izolat. Vedeți o platformă de hosting sub presiune, care descoperă și repară probleme sistematic, sub ochi publici. E abordarea corectă, dar obositoare pentru admini.

Campania .sorry din aprilie a arătat haosul la patch-uri întârziate. Valul din mai arată riscurile descoperirilor în loturi. Niciuna nu e ideală, dar transparența cPanel ajută.

Păstrează infrastructura găzduită la NameOcean la zi, monitorizează atent și nu ignora CVE-urile – nici pe cele "reparate".