أصدرت شركة cPanel تحديثات أمنية جديدة لمعالجة ثلاث ثغرات في منصتي cPanel وWeb Host Manager (WHM)، قد تؤدي إلى تصعيد الصلاحيات، وتنفيذ تعليمات برمجية ضارة، أو التسبب في هجمات حجب الخدمة (DoS). هذه الثغرات تحمل خطورة متفاوتة، لكنها مجتمعة تشكل تهديدًا مباشرًا لمزودي خدمات الاستضافة والمواقع الإلكترونية إذا لم يتم تطبيق التحديثات فورًا.
تفاصيل الثغرات الأمنية
- CVE-2026-29201 (درجة CVSS: 4.3): ضعف في التحقق من إدخال اسم ملف الميزة ضمن استدعاء “feature::LOADFEATUREFILE”، ما يسمح بقراءة ملفات عشوائية.
- CVE-2026-29202 (درجة CVSS: 8.8): ضعف في التحقق من إدخال معامل “plugin” ضمن استدعاء “create_user API”، ما يتيح تنفيذ تعليمات برمجية بلغة Perl على حساب المستخدم المصادق عليه.
- CVE-2026-29203 (درجة CVSS: 8.8): ثغرة في التعامل مع الروابط الرمزية (symlinks)، تسمح بتغيير صلاحيات الوصول لملفات عشوائية باستخدام أمر chmod، ما يؤدي إلى حجب الخدمة أو تصعيد الصلاحيات.
الإصدارات التي شملها الإصلاح
تمت معالجة هذه الثغرات في الإصدارات التالية من cPanel وWHM:
- 11.136.0.9 وما بعدها
- 11.134.0.25 وما بعدها
- 11.132.0.31 وما بعدها
- 11.130.0.22 وما بعدها
- 11.126.0.58 وما بعدها
- 11.124.0.37 وما بعدها
- 11.118.0.66 وما بعدها
- 11.110.0.116 وما بعدها
- 11.110.0.117 وما بعدها
- 11.102.0.41 وما بعدها
- 11.94.0.30 وما بعدها
- 11.86.0.43 وما بعدها
كما أصدرت الشركة نسخة خاصة (11.110.0.114) للعملاء الذين ما زالوا يستخدمون أنظمة CentOS 6 أو CloudLinux 6، لضمان استمرار الحماية الأمنية.
خلفية أمنية حديثة
يأتي هذا الكشف بعد أيام قليلة من استغلال ثغرة أخرى في المنتج (CVE-2026-41940) كـ هجوم يوم صفر، حيث استخدمها مهاجمون لنشر نسخ من شبكة Mirai الخبيثة وبرمجية فدية تحمل اسم “Sorry”. هذا يبرز الحاجة الملحة لتحديث الأنظمة بشكل دوري وعدم تأجيل تطبيق الإصلاحات الأمنية.
