CVE-2026-87899: lỗi cPanel cho phép tài khoản hosting leo thang lên root

cPanel vừa phát hành bản vá cho một nhóm lỗ hổng bảo mật nghiêm trọng, trong đó đáng chú ý nhất là CVE-2026-87899. Theo thông tin từ cPanel và The Hacker News, lỗi này nằm trong dịch vụ CalDAV/CardDAV và có thể cho phép một tài khoản hosting thông thường thực thi mã với quyền root trên server. Với môi trường shared hosting, đây là mức rủi ro rất cao vì chỉ một account bị lộ hoặc một khách hàng độc hại cũng có thể ảnh hưởng đến toàn bộ máy chủ.

Bài viết này được biên soạn lại theo hướng thực hành cho quản trị viên server/hosting, dựa trên thông tin từ The Hacker News và advisory chính thức của cPanel.

Tóm tắt nhanh

Vì sao lỗi này nguy hiểm với shared hosting?

Trên một server shared hosting, mỗi khách hàng thường chỉ có quyền trong phạm vi account của họ. Cơ chế cách ly này là nền tảng để nhiều website cùng chạy trên một máy chủ. Nếu một account có thể leo thang lên root, ranh giới cách ly giữa các khách hàng coi như bị phá vỡ.

Khi attacker có quyền root, họ có thể đọc/sửa dữ liệu của các account khác, thay đổi website, truy cập mailbox, cài backdoor, chỉnh cấu hình hệ thống hoặc duy trì persistence ở tầng server. Đây là lý do CVE-2026-87899 cần được xử lý ưu tiên cao hơn nhiều lỗi web thông thường.

Ba lỗ hổng được cPanel vá trong đợt này

\n

CVE-2026-87899: account hosting có thể chạy mã dưới quyền root

Theo advisory của cPanel, CVE-2026-87899 cho phép một account holder đã xác thực leo thang quyền thông qua CalDAV/CardDAV. Tác động được mô tả trực tiếp là thực thi mã dưới quyền root, đồng nghĩa attacker có toàn quyền kiểm soát server nếu khai thác thành công.

Điểm đáng chú ý là điều kiện khai thác không yêu cầu WHM admin. Chỉ cần một tài khoản cPanel hợp lệ. Trong thực tế, rủi ro có thể đến từ tài khoản khách hàng cố ý tấn công, tài khoản bị lộ mật khẩu, website bị compromise dẫn đến mất quyền cPanel, hoặc môi trường bán hosting công khai cho nhiều khách hàng không tin cậy nhau.

CVE-2026-87900: WP Toolkit có thể ảnh hưởng database account khác

Lỗi thứ hai nằm trong WP Toolkit, công cụ thường được dùng trên cPanel để cài đặt và quản lý WordPress. Theo The Hacker News, lỗi liên quan đến cách WP Toolkit xử lý thao tác tạo database. cPanel mô tả rằng một user cPanel đã đăng nhập có thể thực hiện thay đổi database thuộc account khác.

Đây là điểm cần lưu ý riêng: cập nhật cPanel/WHM không đồng nghĩa WP Toolkit chắc chắn đã được cập nhật, vì WP Toolkit là package riêng. Nếu server có cài wp-toolkit-cpanel, quản trị viên nên kiểm tra và cập nhật riêng lên 6.11.3 hoặc mới hơn.

CVE-2026-68490: rò rỉ calendar/contact giữa các account

CVE-2026-68490 cũng liên quan CalDAV/CardDAV nhưng tác động thấp hơn CVE-2026-87899. Lỗi quyền có thể cho phép local user trên cùng server đọc calendar events và contacts của account khác. Advisory không mô tả khả năng sửa dữ liệu hoặc leo thang lên root từ lỗi này, nhưng với hosting nhiều khách hàng, đây vẫn là vấn đề nghiêm trọng về riêng tư và cách ly tenant.

Cách kiểm tra nhanh server cPanel có cần cập nhật không

Các lệnh dưới đây là lệnh kiểm tra/read-only. Anh em quản trị nên chạy bằng quyền root hoặc user có đủ quyền trên server cPanel.

# Kiểm tra phiên bản cPanel/WHM hiện tại
cat /usr/local/cpanel/version 2>/dev/null || true
/usr/local/cpanel/cpanel -V 2>/dev/null || true

# Kiểm tra tier cập nhật
cat /etc/cpupdate.conf 2>/dev/null

Nếu phiên bản thấp hơn các mốc đã vá tương ứng với release line đang dùng, cần lên kế hoạch cập nhật ngay. Với server public shared hosting, nên ưu tiên xử lý trong khung bảo trì gần nhất thay vì chờ lịch cập nhật định kỳ.

Kiểm tra WP Toolkit

# Kiểm tra package WP Toolkit trên cPanel
rpm -q wp-toolkit-cpanel 2>/dev/null || yum list installed wp-toolkit-cpanel 2>/dev/null

# Nếu có command wp-toolkit, kiểm tra version
wp-toolkit --version 2>/dev/null || true

Nếu WP Toolkit đang ở bản 6.11.2-10794 hoặc cũ hơn, cần cập nhật lên 6.11.3 hoặc mới hơn.

Cách cập nhật cPanel/WHM

Lưu ý: cập nhật cPanel/WHM là thao tác thay đổi hệ thống production. Trước khi chạy, nên kiểm tra backup, dung lượng disk, trạng thái dịch vụ, kernel/load hiện tại và thông báo lịch bảo trì nếu server có nhiều khách hàng.

# Kiểm tra trạng thái update trước
/usr/local/cpanel/scripts/upcp --help

# Cập nhật cPanel/WHM lên bản mới nhất theo tier đang cấu hình
/usr/local/cpanel/scripts/upcp --force

Có thể cập nhật qua giao diện WHM tại Home → cPanel → Upgrade to Latest Version. Theo cPanel, bản cập nhật cho nhóm lỗi CalDAV/CardDAV cũng sửa quyền calendar/contact cho các account hiện có.

Cách cập nhật WP Toolkit riêng

WP Toolkit có đường cập nhật riêng. cPanel đưa ra lệnh cập nhật lên phiên bản 6.11.3 như sau:

bash <(curl https://wp-toolkit.plesk.com/cPanel/installer.sh || wget -O - https://wp-toolkit.plesk.com/cPanel/installer.sh) --version 6.11.3

Vì đây là lệnh tải installer từ Internet rồi thực thi, nên chỉ chạy trên server production sau khi đã kiểm tra nguồn, backup và hiểu rõ tác động. Nếu có hệ thống quản lý package nội bộ, nên kiểm tra thêm policy cập nhật của đơn vị vận hành.

Sau khi cập nhật nên kiểm tra gì?

1. Kiểm tra lại phiên bản cPanel/WHM và WP Toolkit.
2. Kiểm tra trạng thái các service cPanel quan trọng như cPanel, cpsrvd, Exim, Dovecot, Apache/LiteSpeed, MySQL/MariaDB.
3. Đăng nhập thử WHM và một tài khoản cPanel test.
4. Kiểm tra một website WordPress đang quản lý bằng WP Toolkit, nhưng không chạy thao tác thay đổi dữ liệu nếu chưa cần.
5. Theo dõi log update và error log trong vài giờ đầu sau cập nhật.

# Kiểm tra version sau cập nhật
cat /usr/local/cpanel/version
/usr/local/cpanel/cpanel -V
rpm -q wp-toolkit-cpanel 2>/dev/null || true

# Kiểm tra nhanh service cPanel
/usr/local/cpanel/scripts/restartsrv_cpsrvd --status
/usr/local/cpanel/scripts/restartsrv_httpd --status
/usr/local/cpanel/scripts/restartsrv_exim --status
/usr/local/cpanel/scripts/restartsrv_dovecot --status

Có workaround tạm thời không?

Theo thông tin trong bài gốc, cPanel không đưa ra workaround tạm thời cho nhóm lỗi này. Vì vậy biện pháp chính vẫn là cập nhật lên bản đã vá. Với môi trường chưa thể cập nhật ngay, quản trị viên nên giảm rủi ro bằng cách rà soát account lạ, khóa account không còn sử dụng, bắt buộc đổi mật khẩu các account nghi ngờ bị lộ và tăng giám sát log, nhưng đây không thay thế cho việc vá lỗi.

Dấu hiệu cần rà soát sau sự cố

Advisory không cung cấp IOC cụ thể. Tuy nhiên, do tác động có thể lên đến root, nếu server từng mở cho nhiều khách hàng không tin cậy hoặc nghi ngờ có account bị lộ, nên rà soát theo hướng incident response:

• User cPanel mới tạo bất thường hoặc account có lần đăng nhập lạ.
• Process, cron, systemd service hoặc file chạy nền không rõ nguồn gốc.
• Thay đổi bất thường trong /etc/passwd, SSH authorized_keys, sudoers, cấu hình service.
• Website nhiều account xuất hiện file PHP lạ, redirect, iframe, backlink spam hoặc webshell.
• Log cPanel/WHM, access log và auth log có truy cập bất thường quanh thời điểm trước khi vá.

# Một số log nên xem sau khi vá nếu nghi ngờ có khai thác
grep -i "dav\|cpdav\|wp-toolkit\|toolkit" /usr/local/cpanel/logs/error_log 2>/dev/null | tail -200
last -a | head -50
grep -i "Accepted\|Failed" /var/log/secure 2>/dev/null | tail -200

Khuyến nghị cho nhà cung cấp hosting

• Ưu tiên cập nhật toàn bộ server cPanel/WHM lên build đã vá, không chỉ cập nhật các server có khách báo lỗi.
• Kiểm tra riêng WP Toolkit vì đây là package độc lập.
• Tách nhóm server shared hosting public khỏi server nội bộ hoặc server chỉ phục vụ khách tin cậy.
• Bật MFA cho WHM/cPanel nếu quy trình vận hành cho phép.
• Theo dõi các advisory cPanel/Plesk gần đây vì nhiều lỗi cùng nhóm privilege escalation đã được công bố trong thời gian ngắn.
• Nếu nghi ngờ bị khai thác trước khi vá, xử lý theo quy trình incident response thay vì chỉ cập nhật rồi bỏ qua.

FAQ

Website WordPress trên cPanel có bị ảnh hưởng trực tiếp không?

Lỗi chính không nằm trong WordPress core/plugin của từng website, mà nằm ở tầng control panel và WP Toolkit. Tuy nhiên nếu server cPanel bị chiếm quyền root, mọi website WordPress trên server đều có thể bị ảnh hưởng gián tiếp.

Chỉ có tài khoản cPanel thường thì có khai thác được không?

Theo cPanel, CVE-2026-87899 yêu cầu account holder đã xác thực. Điều này nghĩa là attacker không cần quyền WHM admin; một tài khoản cPanel hợp lệ có thể đủ điều kiện trong môi trường bị ảnh hưởng.

Cập nhật cPanel có tự cập nhật WP Toolkit không?

Không nên giả định như vậy. WP Toolkit là package riêng và cPanel đưa ra hướng cập nhật riêng lên 6.11.3 hoặc mới hơn. Sau khi cập nhật cPanel, vẫn cần kiểm tra version WP Toolkit.

Nếu chưa thể cập nhật ngay thì nên làm gì?

Không có workaround chính thức thay thế bản vá. Có thể giảm rủi ro bằng cách khóa account không dùng, đổi mật khẩu account nghi ngờ, kiểm soát đăng nhập, rà soát log và tăng giám sát. Tuy nhiên đây chỉ là biện pháp tạm thời; cập nhật vẫn là việc bắt buộc.

Kết luận

CVE-2026-87899 là lỗi rất nghiêm trọng đối với hệ thống cPanel shared hosting vì phá vỡ ranh giới giữa account hosting thường và quyền root của server. Ngoài ra, CVE-2026-87900 trong WP Toolkit cũng cần được xử lý riêng để tránh rủi ro tác động chéo database giữa các account. Nếu đang vận hành cPanel/WHM version 120 trở lên hoặc có cài WP Toolkit, nên kiểm tra version và cập nhật lên bản đã vá càng sớm càng tốt.

Nguồn tham khảo

• The Hacker News – New cPanel Flaw Lets a Hosting Account Run Code as Root
• cPanel Advisory – CVE-2026-87899
• cPanel Advisory – CVE-2026-87900
• cPanel Advisory – CVE-2026-68490

Đỗ Trung Quân

CÔNG TÁC TẠI AZDIGI

Với kinh nghiệm thực chiến từ việc tiếp xúc hàng ngày với vô vàn vấn đề về Website, Hosting, VPS, Server tại Phòng Kỹ thuật AZDIGI, mình luôn ấp ủ niềm đam mê chia sẻ kiến thức.

Mình xây dựng các blog không chỉ để tự trau dồi kỹ năng mà còn để cung cấp những tài liệu, hướng dẫn hữu ích nhất đến cộng đồng. Rất mong nhận được sự quan tâm của các bạn!

Hỗ Trợ Hosting / VPS / WordPress Hỗ Trợ Xử Lý Mã Độc

Đăng ký tư vấn miễn phí

Để lại thông tin, mình sẽ phản hồi ngay.

Họ và tên

Số điện thoại

TƯ VẤN MIỄN PHÍ Chọn dịch vụ Xử lý mã độc WordPress Thiết kế website Quản trị VPS/Server Dịch vụ WordPress (Quản trị/Fix lỗi/Nâng cấp) Tư vấn & Triển khain (Server - Hosting - Email)

GỬI YÊU CẦU TƯ VẤN