cPanel kör veckovisa säkerhetsuppdateringar: Fem CVEs lagade – men en fix redan trasig

Har du hållit koll på cPanel-miljön på sistone? Säkerhetsuppdateringar kommer nu i ett rasande tempo. Inte det roliga slaget, utan mer som en siren som tjuter oavbrutet.

Den 13 maj släppte cPanel och WHM patchar för fem nya CVEs i olika klasser. Men grejen som sticker ut – och oroar – är att en säkerhetsforskare, Shubham Shah, redan samma dag visade att minst en patch inte löser problemet. Vi gräver i vad som hänt och vad det betyder för din hosting-setup.

De fem hoten: En rundtur i säkerhetshelvetet

Uppdateringen från 13 maj täcker fem allvarliga luckor, alla klassade som High med CVSS upp till 8.6. Här är de:

CVE-2026-29205 (Den bristfälliga fixen)

Huvudproblemet. En angripare utan inloggning kan läsa valfria filer via cpdavd-endpointen för nedladdning. Felet sitter i dålig path-filtrering och rättigheter. CVSS: 8.6. Patchen fixar inte allt – din setup är fortfarande sårbar efter uppdatering.

CVE-2026-29206 (SQL-injektion i sqloptimizer)

Root-nivå SQL-injektion i sqloptimizer-verktyget när slow query-loggen är på. Kräver lite användarinteraktion, men skadan kan bli enorm. CVSS: 8.1.

CVE-2026-32991 (Eskalering i Team Manager)

I multi-tenant-miljöer kan teammedlemmar klättra till ägarroll via Team Manager. CVSS: 7.1. Reseller med cPanel-konton? Det här drabbar dig direkt.

CVE-2026-32992 (SSL avstängt i DNS Cluster)

SSL-verifiering är urkopplad i DNS Cluster. En man-in-the-middle på ditt interna nät kan sno credentials. CVSS: 8.2. Sömnlös natt för säkerhetsteam.

CVE-2026-32993 (CRLF-injektion)

Utan inloggning går det att injicera CRLF i /unprotected/nova_error-endpointen och manipulera headers. Samma typ som drev .sorry-ransomware i april. CVSS: 8.3.

Det verkliga bekymret: Hastverk med patchar

På Reddit förklarar cPanel att de nu kör "veckovisa säkerhetsreleaser" medan de skannar igenom systemen. Tidslinjen stämmer: 28 april, 8 maj, 13 maj – nästa kommer snart.

Det här skriker triage-läge hos WebPros. De hittar luckor och patchar i panik. Bättre än att blunda, men under press blir kvaliteten lidande. CVE-2026-29205 visar exakt det.

Vad du gör nu – genast

1. Lita inte blint på patcharna. Hämta 13 maj-uppdateringarna för din cPanel/WHM-version, men CVE-2026-29205 behöver extra fix.

2. Fokusera på CVE-2026-29205. Oautentiserad fil-läsning är live-exploitable. Kolla loggar på misstänkta åtkomster till /dav-endpointen.

3. Uppdatera allt. Gäller även WP Squared och hela WebPros-familjen.

4. Kolla din version. Patchar från 11.86 till 11.136. CloudLinux 6? Byt till cl6110-tier först.

5. Vänta på efterlängtat fix. Egentlig lösning för CVE-2026-29205 är på väg – prioritera den.

Den stora bilden

Det här är ingen engångsgrej. En hostingplattform under press systematiskt jagar buggar och fixar under lupp. Ansvarstagande – men slitsamt för admins som jagar uppdateringar.

.sorry-ransomware i april visade kaoset utan patchar. Majs vällen visar batch-åtkomst. Inget är perfekt, men cPanel är öppna med schemat.

Håll NameOcean-hostingen uppdaterad, övervaka skarpt och sov inte på CVEs – även "fixade" sådana.