Три уязвимости cPanel выходят сегодня — что делать прямо сейчас

Утро началось с письма от cPanel? Вы не одиноки. Компания анонсировала три свежих CVE (CVE-2026-29201, CVE-2026-29202, CVE-2026-29203). Патчи появятся ровно в 12:00 по восточному времени США. И на этот раз подход другой.

Смена правил раскрытия уязвимостей

Главное отличие: cPanel не раскрывает детали до релиза патча. Без описания эксплойтов. Без векторов атак. Только "патч на подходе, потом разберёмся".

Может показаться раздражающим — хочется понять, что именно чиним. Но вспомним недавний случай. Две недели назад CVE-2026-41940 (обход аутентификации, критичность 9.8) висела без фикса 64 дня. Миллион с половиной открытых на интернет cPanel-инстансов сидели без защиты. Атакующие уже ковыряли её.

Сейчас cPanel сделал вывод: сначала патч, потом разбор. Логичный шаг при таких рисках.

Что известно на данный момент

CVE зарезервированы в NVD — это официально. Патчи разлетятся через обычный механизм автообновлений cPanel.

Ключевой совет: не ждите автообновлений. Рекомендуют запустить вручную /scripts/upcp сразу после релиза.

Чек-лист перед патчем

Выделите 15 минут на подготовку серверов:

1. Проверьте автообновления: Если они выключены или версии зафиксированы, загляните в /etc/cpupdate.conf. Не дай бог config устареет в разгар обновы.

2. Пользователи CloudLinux 6 — срочно: Перед патчем обновите tier. Выполните заранее:

sed -i "s/CPANEL=.*/CPANEL=cl6110/g" /etc/cpupdate.conf

Иначе нарвётесь на конфликты. Не лучший сценарий для security-инцидента.

3. Подготовьте команду: Держите /scripts/upcp наготове. Разверните по всем серверам мгновенно.

Баланс между открытостью и безопасностью

Разработчики и админы хотят детали: для оценки рисков, согласований и отчётов. "Чиним обход auth" — это одно, "чиним что-то важное" — другое.

Но правда в том, что детали без патча — как раздача ключей от сейфа. Предыдущая уязвимость эксплуатировали два месяца без предупреждений. Так что "сначала фикс" — разумно. Детали опубликуют после вашей защиты.

Что будет в 12:00 EST

• Патчи на три CVE выйдут для авто- и ручного обновления.
• Детали появятся на support-странице cPanel.
• NVD обновят полностью.
• Вы узнаете, что починили и почему это критично.

Пока готовьтесь, а не гадайте.

Общий взгляд

Управляете флотом cPanel? Проверьте политики обновлений. Зафиксированные версии и отключённые автообновы полезны для стабильности, но в security-кризисах — ловушка.

Попробуйте tiered-подход: сначала патчите тестовый кластер, потом остальное. Это даёт контроль без потери скорости.

А если пора уходить от панелей к контейнерам или API-хостингу — такие случаи подталкивают к решению. Платформа NameOcean с AI-powered Vibe Hosting берёт на себя обновы, патчи и управление без оверхеда cPanel.

Итог: обновляйтесь сегодня, разбирайтесь завтра. Ваша инфраструктура скажет спасибо.

Сталкивались с security-проблемами cPanel? Как сочетаете быстрые патчи с тестами? Делитесь в комментах или пишите команде NameOcean — подберём хостинг под вашу архитектуру.