cPanel 與 Web Host Manager (WHM) 作為全球廣泛使用的主機管理面板，其安全性直接影響到伺服器上所有租戶的數據安全。近期官方發布了針對三個新漏洞的修補程式，這些漏洞涉及輸入驗證不足與符號連結處理不當，可能導致伺服器被接管或服務崩潰。
對於維運工程師來說，理解這些漏洞的成因比單純更新版本更重要，因為這類問題在許多自研的後台管理系統中也經常出現。
輸入驗證失效導致的任意檔案讀取
第一個漏洞 CVE-2026-29201 屬於典型的輸入驗證不足問題。在 adminbin 的 feature::LOADFEATUREFILE 呼叫過程中，系統沒有對檔案名稱進行嚴格的檢查。
在工程實務中，如果程式允許使用者傳入路徑或檔案名稱而未經過濾，攻擊者可以利用路徑穿越（Path Traversal）技巧，例如在路徑中加入大量點點斜線（../），強迫系統讀取到預期範圍之外的敏感設定檔或系統密碼檔。雖然此漏洞的 CVSS 評分較低，但它通常被用作攻擊鏈的第一步，用來蒐集系統資訊。
API 參數漏洞與遠端代碼執行
最嚴重的漏洞之一是 CVE-2026-29202，發生在 create_user API 的 plugin 參數中。由於缺乏正確的輸入驗證，攻擊者可以在該參數中注入惡意的 Perl 代碼。
這就是所謂的遠端代碼執行（Remote Code Execution, RCE）。當系統將使用者輸入的參數直接傳遞給解釋器執行時，攻擊者就能以該帳戶的權限在伺服器上執行任意指令。一旦攻擊者成功注入代碼，他們可以安裝後門、竊取資料庫密碼或將伺服器納入殭屍網路。
符號連結濫用與權限提升
CVE-2026-29203 涉及對符號連結（Symlink）的不安全處理。符號連結就像是檔案系統中的捷徑，指向另一個目標檔案。
如果系統在執行 chmod（修改檔案權限）等操作時，沒有檢查目標是否為符號連結，攻擊者可以建立一個指向系統關鍵檔案（例如 /etc/shadow）的連結。當系統以高權限執行權限修改時，實際上會修改掉那個被連結的系統檔案，導致權限被非法提升（Privilege Escalation）或是導致系統關鍵檔案無法讀取而造成服務中斷（Denial of Service, DoS）。
實務影響與更新建議
雖然目前尚無證據顯示這三個漏洞已被大規模利用，但 cPanel 之前出現的另一個漏洞 CVE-2026-41940 已經被駭客用來傳播 Mirai 殭屍網路與 Sorry 勒索軟體。這顯示出針對主機管理面板的攻擊意圖非常強烈。
建議所有維運人員立即將 cPanel 與 WHM 更新至最新版本。對於仍在使用舊版 CentOS 6 或 CloudLinux 6 的環境，官方提供了 110.0.114 作為直接更新版本。
在處理此類更新時，工程師應遵循先在測試環境驗證更新是否影響現有外掛或 API 呼叫，確認無誤後再推送到生產環境。
來源：thehackernews.com
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。