cPanel & WHM'de root olarak dosya yazmaya ve takvim okumaya izin veren iki açık

cPanel, 26 Ekim tarihli ve 30 Ekim’de güncellenen iki güvenlik duyurusunda cPanel & WHM’deki iki açığı ve bunları kapatan sürümleri açıkladı. Açıkların CVE kayıtları 2 Kasım’da yayımlandı. Duyurularda açıkların saldırılarda kullanıldığına dair bir bilgi yok.

Açıklar

• CVE-2026-105476: cPanel’e göre açık, bir kullanıcının root yetkisiyle çalışan bir süreci, dosyayı bayinin (reseller) seçtiği bir yere yazmaya yönlendirmesine izin veriyor. Başarılı bir istismarda sunucudaki bir bayi hesabı, sunucunun herhangi bir yerinde root olarak dosya oluşturabiliyor ya da var olan bir dosyanın üzerine yazabiliyor. CVE kaydında açık, bağlantı çözümlemesinin dosyaya erişimden önce doğru yapılmaması olarak tanımlanıyor. Kayıttaki CVSS 3.1 puanı 8.8 ve bu puanı CISA eklemiş. Künyedeki puan ve önem derecesi bu açığa ait.
• CVE-2026-105475: cPanel’e göre açık, sunucuda hesabı ve hiçbir giriş bilgisi olmayan bir saldırganın, sunucudaki herhangi bir e-posta hesabının takvim kayıtlarını ve kişi listesini okumasına izin veriyor. CVE kaydına göre açık, NUL baytının doğru işlenmemesinden kaynaklanıyor. cPanel’in CVE kaydındaki CVSS 4.0 puanı 8.7.

Etkilenen ve düzeltilmiş sürümler

• CVE-2026-105476: v78 ve sonrası etkileniyor. Düzeltme 110.0.154, 134.0.67, 136.0.51 ve 138.0.19 ve sonraki sürümlerde.
• CVE-2026-105475: v124 ve sonrası etkileniyor. Düzeltme 134.0.67, 136.0.51 ve 138.0.19 ve sonraki sürümlerde.

Önerilen önlemler

cPanel, iki açık için de sunucuların güncel düzeltilmiş sürüme yükseltilmesini istiyor. Duyurularda geçici bir önlem yer almıyor. cPanel’e göre CVE-2026-105476’nın istismarı için sunucuda bir bayi hesabı gerekiyor, CVE-2026-105475 ise hiçbir hesap gerektirmiyor.