周三下午，一個(gè)運(yùn)維工程師例行檢查服務(wù)器日志時(shí)，發(fā)現(xiàn)cPanel后臺的更新提示——三個(gè)新漏洞，兩個(gè)CVSS評分8.8。這不是演習(xí)，是生產(chǎn)環(huán)境里的真實(shí)威脅。

cPanel和WHM（Web Host Manager）這次修補(bǔ)的漏洞組合，覆蓋了從文件讀取到代碼執(zhí)行再到權(quán)限提升的完整攻擊鏈。三個(gè)CVE編號，三種不同的利用路徑，但核心問題出奇一致：輸入驗(yàn)證做得不夠。

CVE-2026-29201（CVSS 4.3）——相對溫和。問題出在"feature::LOADFEATUREFILE"這個(gè)adminbin調(diào)用上，特性文件名沒做充分校驗(yàn)，導(dǎo)致任意文件讀取。攻擊者需要先有管理員權(quán)限才能觸發(fā)，所以評分不高，但在特定場景下能拿到敏感配置。

CVE-2026-29202（CVSS 8.8）——高危。create_user API的"plugin"參數(shù)同樣缺乏輸入驗(yàn)證，已經(jīng)認(rèn)證的用戶能注入任意Perl代碼，以系統(tǒng)用戶身份執(zhí)行。這意味著什么？你租的共享主機(jī)上，隔壁租戶可能正在你的服務(wù)器里跑腳本。

CVE-2026-29203（CVSS 8.8）——同樣高危，但更隱蔽。符號鏈接處理不當(dāng)，普通用戶能用chmod修改任意文件的權(quán)限。從拒絕服務(wù)到權(quán)限提升，一步之遙。這個(gè)漏洞的討厭之處在于，它不需要復(fù)雜的利用代碼，一個(gè)精心構(gòu)造的軟鏈接就夠了。

補(bǔ)丁版本已經(jīng)推送，列表長得讓人眼暈。11.136.0.9、11.134.0.25、11.132.0.31……一直到11.86.0.43，跨越了整整十個(gè)主版本分支。WP Squared用戶需要升到11.136.1.10或更高。還在用CentOS 6或CloudLinux 6的老古董？cPanel專門發(fā)了110.0.114作為直接更新，算是最后的仁慈。

官方說目前沒有野外利用證據(jù)。但這句話的保質(zhì)期可能很短——就在幾天前，另一個(gè)cPanel漏洞CVE-2026-41940已經(jīng)被武器化，Mirai變種和叫Sorry的勒索軟件正在拿它當(dāng)零日漏洞用。攻擊者顯然在盯著這個(gè)生態(tài)。

共享主機(jī)、VPS、獨(dú)立服務(wù)器，cPanel的裝機(jī)量決定了它的漏洞從來不只是技術(shù)問題，是經(jīng)濟(jì)學(xué)問題。一個(gè)控制面板覆蓋數(shù)百萬網(wǎng)站，打補(bǔ)丁的窗口期就是攻擊者的黃金時(shí)間。你的版本號在不在安全列表里？現(xiàn)在去查，比明天去救火便宜得多。