cPanel 披露：其 CalDAV 和 CardDAV 服务（存储每个账户的日历和通讯录）中的一个漏洞，允许任何拥有 cPanel 托管账户的用户以 root 身份运行代码，"完全控制服务器"（CVE-2026-87899）。除了拥有一个标准账户外无需任何特殊权限——这意味着在共享托管服务器上，任何付费客户、或任何拿到客户登录凭据的人，都可以利用它。

cPanel root 提权漏洞

cPanel 于 9 月 22 日发布了三个漏洞的修复版本：

漏洞位置影响修复版本
CVE-2026-87899CalDAV/CardDAV已登录账户持有者可以 root 运行代码11.134.0.57+ / 11.136.0.41+ / 11.138.0.8+ / WP Squared 11.138.1.11+
CVE-2026-87900WP Toolkit已登录用户可修改其他账户的数据库WP Toolkit 6.11.3+
CVE-2026-68490CalDAV/CardDAV本地用户可读取其他账户的日历与通讯录（只读）同 CVE-2026-87899

在共享托管场景下，root 提权意味着一个客户的账户可以威胁同一服务器上的所有账户——这对多租户隔离是根本性破坏。三个公告均未提及在野利用，漏洞在披露时也不在 CISA KEV 目录中。

所有三个漏洞都归功于研究员 Ali Mustafa（网名 rz1027）。自 8 月 27 日以来，CVE 记录已将至少七个 cPanel 和 Plesk 漏洞归功于他——包括 9 月 8 日 cPanel EmailTrack 中一个允许拥有邮件权限的账户获得 root 的漏洞（CVE-2026-67401，CVSS 9.9），以及 9 月 10 日 Plesk Backup Manager 中两个可让客户接管整个服务器的漏洞（符号链接竞态和未签名备份头路径遍历）。

这种在托管控制面板中反复发现严重漏洞的模式值得托管服务商警惕：控制面板集中了最高的系统权限，却直接暴露给最低权限的用户。管理员应立即更新：WHM 中执行 Home / cPanel / Upgrade to Latest Version，或以 root 运行 /usr/local/cpanel/scripts/upcp --force；WP Toolkit 需单独更新至 6.11.3 或更高版本。更新同时会修复现有账户的日历和通讯录权限。

本文编译自 The Hacker News，原文地址：https://thehackernews.com/2026/09/new-cpanel-flaw-lets-hosting-account_0272795595.html