cPanel’de herhangi bir hosting hesabına root yetkisi veren açık
Yayın:
- Ne oldu?
- cPanel, 22 Eylül’de üç açık duyurdu. En ağırı, herhangi bir hosting hesabının sunucuda root olarak kod çalıştırmasına izin veriyor.
- Kimi etkiliyor?
- cPanel & WHM 120 ve sonraki sürümler; WP Toolkit 6.11.2 ve öncesi.
- Ne yapmalı?
- WHM’den en son sürüme güncelleyin; WP Toolkit’i 6.11.3 ya da üstüne yükseltin.
cPanel, 22 Eylül 2026'da üç güvenlik açığı duyurdu. En ağırı olan CVE-2026-87899, takvim ve rehber (CalDAV/CardDAV) bileşeninde bulunuyor ve sunucudaki herhangi bir hosting hesabının root olarak kod çalıştırmasına, yani sunucunun tamamını ele geçirmesine izin veriyor.
Üç açık
| Açık | Ne sağlıyor? | Düzeltme |
|---|---|---|
| CVE-2026-87899 (CalDAV/CardDAV) | Bir hosting hesabından root olarak kod çalıştırma | 11.134.0.57, 11.136.0.41, 11.138.0.8 |
| CVE-2026-87900 (WP Toolkit) | Başka hesaplara ait veritabanlarını değiştirme | WP Toolkit 6.11.3 |
| CVE-2026-68490 (CalDAV/CardDAV) | Başka hesapların takvim ve rehberini okuma | CVE-2026-87899 ile aynı |
Etkilenen sürümler cPanel & WHM 120 ve sonrası. Duyuru sırasında saldırıda kullanıldığına dair bir bilgi yoktu; cPanel güncelleyemeyenler için geçici bir çözüm de önermedi.
Ne yapmalısınız?
# WHM'de "Upgrade to Latest Version" ya da root olarak:
/usr/local/cpanel/scripts/upcp --forceWP Toolkit ayrı bir paket olarak güncellenir; 6.11.3 ya da üstü olduğundan emin olun. Sunucuda güvenmediğiniz hesaplar varsa, güncellemeden önceki dönem için saldırı kontrol listesindeki adımları uygulayın.
Kaynaklar
İlgili yazılar
Rank Math PRO güncellemesine zararlı yazılım gizlendi: ne yapmalı?
WordPress SEO eklentisi Rank Math PRO'nun 3.0.123 sürümüne zararlı kod eklendi. Hangi siteler etkilendi, nasıl temizlenir?
Bricksforge eklentisinde CVSS 10 açık saldırıda: WordPress siteleri ele geçiriliyor
Bricks tema eklentisi Bricksforge’daki açık, giriş yapmadan PHP dosyası yüklemeye izin veriyor ve 7 Ekim’den beri saldırıda kullanılıyor.
nginx beş güvenlik açığını kapattı: sunucunuz etkileniyor mu?
nginx 14 Ekim'de beş açığı kapattı. Açıkların hepsi belirli ayarlara bağlı; sunucunuzun etkilenip etkilenmediğini tek komutla görebilirsiniz.
cPanel, Plesk ve WHMCS 2027'de yüzde 20'ye varan zam yapıyor
cPanel 16 Aralık'tan, Plesk ve WHMCS 1 Ocak 2027'den itibaren lisans fiyatlarını artırıyor. Rakamlar ve barındırma firmalarına etkisi.
OpenSSH 10.6 yayımlandı: sıkıştırma üzerinden şifreli veri sızdırma kapatıldı
OpenSSH 10.6, sıkıştırma üzerinden düz metin kurtarma saldırısı, SFTP yol doğrulaması ve kullanıcı adıyla komut enjeksiyonu gibi sorunları düzeltiyor.
eMudhra ara sertifikaları ele geçirildi: iki kök sertifika güvenilmez ilan edildi
Linux dağıtımları emSign ECC Root CA (G3) ve Comodo AAA Services köklerini güven listesinden çıkardı. Sunucunuzda ca-certificates güncellemesi gerekiyor.