Kritische cPanel EmailTrack-Schwachstelle kann zur vollständigen Serverübernahme führen
CVE-2026-67401 ist eine kritische Sicherheitslücke in der EmailTrack-Funktion von cPanel & WHM. Unter bestimmten Voraussetzungen kann ein authentifizierter cPanel-Benutzer mit entsprechenden E-Mail-Berechtigungen die Schwachstelle ausnutzen, um letztendlich Code mit Root-Rechten auszuführen. Eine erfolgreiche Ausnutzung kann zur vollständigen Übernahme des Hostingservers führen.
Die Schwachstelle hat einen CVSS-Score von 9,9 (Critical) und betrifft unterstützte cPanel & WHM-Versionen vor den von cPanel veröffentlichten Sicherheitsupdates. Aufgrund der möglichen Codeausführung mit Root-Rechten empfiehlt Vservs, cPanel & WHM umgehend zu aktualisieren.
Was ist CVE-2026-67401?
CVE-2026-67401 betrifft die EmailTrack-Funktion von cPanel. Laut dem offiziellen Sicherheitsadvisory von cPanel kann ein authentifizierter cPanel-Benutzer mit entsprechenden E-Mail-Berechtigungen eine unzureichend abgesicherte Verarbeitung von Eingaben ausnutzen.
Die Sicherheitslücke wird als SQL-Injection eingestuft. Über den betroffenen Funktionspfad kann ein Angreifer unter bestimmten Voraussetzungen beliebige Dateien auf dem Server erstellen. Dies kann anschließend dazu verwendet werden, Code mit Root-Rechten auszuführen.
Die Auswirkungen beschränken sich daher nicht auf E-Mail-Tracking-Daten oder das einzelne cPanel-Konto. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung des zugrunde liegenden Hostingservers führen.
Welche cPanel & WHM-Versionen sind betroffen?
cPanel gibt an, dass unterstützte Release-Zweige vor den folgenden Sicherheitsbuilds betroffen sind:
- 11.110.0.143
- 11.134.0.55
- 11.136.0.39
- 11.138.0.4
- WP2: 11.138.1.9
Server sollten mindestens den gepatchten Build des jeweiligen Release-Zweigs verwenden. Vservs empfiehlt jedoch, wenn möglich direkt auf die aktuellste stabile und unterstützte Version von cPanel & WHM zu aktualisieren.
Warum ist diese cPanel-Schwachstelle kritisch?
Für die Ausnutzung wird zwar ein gültiges cPanel-Konto mit den erforderlichen E-Mail-Berechtigungen benötigt, die Auswirkungen bleiben jedoch nicht auf dieses Hostingkonto beschränkt.
Eine erfolgreiche Ausnutzung kann zur Codeausführung als Root führen. Root stellt auf einem Linux-Server die höchste Berechtigungsstufe dar.
Ein Angreifer mit Root-Zugriff kann unter anderem:
- Websites anderer Hostingkunden lesen oder verändern;
- Datenbanken auslesen oder manipulieren;
- Postfächer und E-Mail-Konfigurationen verändern;
- Systemkonten erstellen oder bestehende Konten manipulieren;
- nicht autorisierte SSH-Schlüssel hinzufügen;
- Malware, Webshells oder persistente Backdoors installieren;
- Firewall- und Sicherheitseinstellungen verändern;
- Cronjobs oder systemd-Dienste zur dauerhaften Persistenz einrichten;
- Logging und Sicherheitsüberwachung manipulieren;
- weitere Hostingkonten auf demselben Server kompromittieren.
Auf einem Multi-Tenant-Hostingserver ist die mögliche Auswirkung deshalb serverweit und nicht auf das ursprünglich für den Angriff verwendete cPanel-Konto begrenzt.
Wird CVE-2026-67401 bereits aktiv ausgenutzt?
Zum Zeitpunkt der Veröffentlichung liegen Vservs keine verlässlichen Hinweise darauf vor, dass CVE-2026-67401 bereits aktiv und in größerem Umfang ausgenutzt wird.
Es gibt derzeit keine eindeutig bestätigte aktive Ausnutzung, die eine entsprechende Aussage rechtfertigen würde. Dies sollte jedoch keinesfalls als Grund verstanden werden, das Sicherheitsupdate aufzuschieben.
Die Schwachstelle hat einen CVSS-Score von 9,9 und kann letztendlich zur Codeausführung mit Root-Rechten führen. Das verfügbare Sicherheitsupdate sollte deshalb mit hoher Priorität installiert werden.
Was sollten cPanel-Administratoren jetzt tun?
- Die aktuell installierte cPanel & WHM-Version und Buildnummer kontrollieren.
- Sofort auf einen gepatchten Build oder eine neuere unterstützte Version aktualisieren.
- Kontrollieren, ob das cPanel-Update erfolgreich abgeschlossen wurde.
- Prüfen, welche cPanel-Konten über E-Mail-bezogene Berechtigungen verfügen.
- Nicht mehr benötigte Konten deaktivieren oder entfernen.
- Administrativen und kundenseitigen Zugriff soweit sinnvoll einschränken.
- Aktuelle Sicherheits- und Authentifizierungslogs auf ungewöhnliche Aktivitäten kontrollieren.
cPanel empfiehlt ausdrücklich die Aktualisierung auf eine gepatchte Version. Eine temporäre Konfigurationsänderung sollte bei dieser Schwachstelle nicht als gleichwertiger Ersatz für das Sicherheitsupdate betrachtet werden.
Kontrolle auf eine mögliche Kompromittierung
Da eine erfolgreiche Ausnutzung zur Codeausführung mit Root-Rechten führen kann, sollte sich eine Sicherheitsanalyse nicht ausschließlich auf die EmailTrack-Komponente beschränken.
Bei möglicherweise exponierten Servern sollten unter anderem folgende Bereiche kontrolliert werden:
- cPanel- und Systemlogs auf ungewöhnliche Aktivitäten von Hostingkonten;
- kürzlich erstellte oder veränderte Dateien außerhalb der normalen Account-Verzeichnisse;
/root/.ssh/authorized_keysauf unbekannte SSH-Schlüssel;- SSH-Schlüssel anderer administrativer Benutzer;
- neue oder unerwartet veränderte Systembenutzer;
- Root-Crontabs und systemweite geplante Aufgaben;
- neue oder veränderte systemd-Dienste;
- unbekannte Prozesse und ungewöhnliche ausgehende Netzwerkverbindungen;
- Webverzeichnisse auf neu angelegte PHP-Dateien, Webshells oder andere verdächtige Dateien;
- Authentifizierungs- und Sicherheitslogs auf ungewöhnliche Root-Aktivitäten oder Privilege Escalation.
Das Vorhandensein einer verwundbaren cPanel & WHM-Version bedeutet nicht automatisch, dass der Server kompromittiert wurde.
Werden jedoch unbekannte SSH-Schlüssel, verdächtige Systemdienste, unerwartete Root-Aktivitäten oder schädliche Dateien gefunden, sollte von einer möglichen serverweiten Kompromittierung ausgegangen werden.
Nach einer bestätigten erfolgreichen Ausnutzung reicht ein Update von cPanel allein nicht aus. Ein Angreifer kann bereits außerhalb der ursprünglichen EmailTrack-Komponente zusätzliche Persistenzmechanismen auf dem Betriebssystem eingerichtet haben.
Vservs Managed Hosting
Bei Vservs Managed VPS gehören unter anderem Systemupdates, Serversicherheit, Monitoring und technisches Servermanagement zum Managed Service. Kritische Sicherheitslücken in relevanter Hostingsoftware werden bewertet und erforderliche Sicherheitsupdates im Rahmen des technischen Managements durchgeführt.
Bei unmanaged Servern bleibt der Kunde selbst für die Überwachung von Sicherheitsmeldungen, die Installation von Updates und die Kontrolle des Servers auf eine mögliche Kompromittierung verantwortlich.