cPanel & WHM Güvenlik Riski: CVE-2026-67401 SQL Injection Açığı

cPanel, 8 Eylül 2026 tarihinde CVE-2026-67401 koduyla takip edilen kritik bir güvenlik açığı için acil güvenlik güncellemesi yayınladı. Bu açık, cPanel'in e-posta izleme/takip (EmailTrack) özelliğinde bulunan bir SQL Injection zafiyetinden kaynaklanmakta ve saldırganların sunucuda root yetkileriyle kod çalıştırmasına (Remote Code Execution) zemin hazırlamaktadır.

Ne Oldu?

cPanel tarafından yayımlanan resmi güvenlik duyurusuna göre, e-posta yetkilerine sahip kimliği doğrulanmış bir cPanel hesap kullanıcısının, EmailTrack işlevindeki SQL Injection zaafiyetini kötüye kullanarak sunucu üzerinde rastgele dosyalar oluşturabildiği tespit edildi.

Oluşturulan bu rastgele dosyalar ve enjeksiyon kanalı sayesinde yetkisiz bir cPanel kullanıcısı sunucu düzeyinde yetki yükselterek root kullanıcısı haklarına erişim sağlayabilmektedir. Bu durum, aynı sunucu üzerinde barındırılan tüm diğer sitelerin, veritabanlarının ve sistem dosyalarının tam kontrolünün saldırganın eline geçmesi riskini doğurur.

Açık, güvenlik araştırmacıları Ali Mustafa (rz1027) ve abed1526 tarafından sorumluluk bilinciyle cPanel ekibine bildirilmiş ve derhal yamalanmıştır.

Etkilenen Sistemler

Bu güvenlik açığı, cPanel/WHM'in aktif olarak desteklenen tüm sürümlerini etkilemektedir.

Özellikle aşağıdaki durumdaki sunucular daha yüksek risk altındadır:

• Birden fazla müşterinin/kullanıcının barındığı paylaşımlı (Shared) veya Reseller hosting sunucuları

• Otomatik cPanel güncellemeleri kapalı olan sistemler

• Belirli bir cPanel sürümüne sabitlenmiş (tier-locked) sistemler

• Güncellenmeyen veya destek süresi dolmuş eski cPanel sürümleri

Yayınlanan Güvenli Sürümler

cPanel, aşağıdaki cPanel & WHM sürümleri ve üstü için güvenlik yamasını yayınlamıştır:

• 11.110.0.143

• 11.134.0.55

• 11.136.0.39

• 11.138.0.4

WP Squared için yayınlanan güvenli sürüm:

• v11.138.1.9

Sunucu Yöneticileri Ne Yapmalı?

cPanel kullanan tüm sunucu yöneticilerinin ilgili güncellemeyi vakit kaybetmeden uygulaması gerekmektedir. cPanel'in önerdiği zorlamalı güncelleme komutu şu şekildedir:

/scripts/upcp --force

Güncelleme işlemi tamamlandıktan sonra cPanel sürümünüzü kontrol edebilir ve servislerin güncel yamayla çalıştığından emin olmak için cpsrvd servisini yeniden başlatabilirsiniz:

/usr/local/cpanel/cpanel -V

/scripts/restartsrv_cpsrvd

Eğer otomatik güncellemeleriniz kapalıysa veya sunucunuz belirli bir sürüme sabitlendiyse, sisteminiz otomatik olarak bu güncellemeyi almayabilir. Bu nedenle bu tür sunucularda güncelleme komutunun manuel olarak çalıştırılması şarttır.

Acil Alınması Gereken Önlemler

1. cPanel sunucunuzu derhal yukarıda belirtilen güvenli sürümlerden birine güncelleyin.

2. Güncelleme sonrası /usr/local/cpanel/cpanel -V komutu ile sürümünüzü doğrulayın.

3. cpsrvd servisini yeniden başlatın.

4. Otomatik güncellemeleri kapalı veya sabitlenmiş (LTS) sunucularınızı manuel olarak kontrol edin.

5. Şüpheli oturumları, yetkisiz oluşturulmuş cron görevlerini ve SSH anahtarlarını denetleyin.

6. Paylaşımlı sunucularda cPanel kullanıcı yetkilerini ve e-posta hesap oluşturma izinlerini gözden geçirin.