إصدارات جديدة من cPanel وWHM تسد ثلاث ثغرات أمنية خطيرة.. والتوصية بالتحديث الفوري
أصدرت شركة cPanel تحديثات أمنية لمعالجة ثلاث ثغرات جديدة في نظامي cPanel وWHM، يمكن استغلالها لتنفيذ تصعيد صلاحيات، وتشغيل أكواد برمجية خبيثة، والتسبب في هجمات حجب الخدمة (DoS).
ثغرة خطيرة في cPanel تمنح المخترقين سيطرة كاملة على الخوادم
وجاءت الثغرات المكتشفة على النحو التالي:
- CVE-2026-29201
بدرجة خطورة 4.3، وهي ثغرة ناتجة عن ضعف التحقق من صحة اسم ملف الميزة (Feature File Name) في استدعاء “feature::LOADFEATUREFILE” داخل adminbin، ما قد يسمح بقراءة ملفات عشوائية من النظام. - CVE-2026-29202
بدرجة خطورة 8.8، وتتعلق بضعف التحقق من قيمة “plugin” في استدعاء “create_user API”، ما قد يؤدي إلى تنفيذ أكواد Perl عشوائية بصلاحيات مستخدم النظام المرتبط بالحساب المصادق عليه مسبقًا. - CVE-2026-29203
بدرجة خطورة 8.8، وهي ثغرة مرتبطة بالتعامل غير الآمن مع الروابط الرمزية (Symlink)، تسمح للمستخدم بتعديل صلاحيات الوصول لملفات عشوائية باستخدام أمر chmod، ما قد يؤدي إلى هجمات حجب الخدمة أو حتى تصعيد الامتيازات.
وأكدت الشركة أن الثغرات تم إصلاحها في الإصدارات التالية من cPanel وWHM:
- 11.136.0.9 وما بعده
- 11.134.0.25 وما بعده
- 11.132.0.31 وما بعده
- 11.130.0.22 وما بعده
- 11.126.0.58 وما بعده
- 11.124.0.37 وما بعده
- 11.118.0.66 وما بعده
- 11.110.0.116 وما بعده
- 11.110.0.117 وما بعده
- 11.102.0.41 وما بعده
- 11.94.0.30 وما بعده
- 11.86.0.43 وما بعده
كما تم إصلاح الثغرات في إضافة WP Squared بالإصدار:
- 11.136.1.10 وما بعده
وأشارت الشركة إلى أنها أطلقت الإصدار 110.0.114 كتحديث مباشر للعملاء الذين ما زالوا يستخدمون أنظمة CentOS 6 أو CloudLinux 6، مع توصية قوية بالترقية إلى أحدث الإصدارات لضمان أفضل حماية ممكنة.
ورغم عدم وجود أدلة حتى الآن على استغلال هذه الثغرات فعليًا في الهجمات الإلكترونية، فإن الإعلان عنها يأتي بعد أيام من استغلال ثغرة حرجة أخرى في المنتج تحمل الرقم CVE-2026-41940، حيث استخدمها مهاجمون كثغرة يوم صفر (Zero-Day) لنشر نسخ من بوتنت Mirai وبرمجية الفدية المعروفة باسم “Sorry”.
المصدر: thehackernews
