CVE-2026-29201: قراءة الملفات التعسفية عبر مسار traversal
تقع الثغرة الأولى في استدعاء adminbin feature::LOADFEATUREFILE، الذي يفشل في التحقق بشكل كافٍ من معلمة اسم ملف الميزة. ويمكن للمهاجم تمرير مسار نسبي كوسيط، مما يؤدي إلى جعل ملف عشوائي على الخادم قابلاً للقراءة من قبل الجميع. تسمح هذه الثغرة بتصعيد الهجوم إلى قراءة الملفات الحساسة مثل ملفات التكوين، بيانات الاعتماد، والمفاتيح الخاصة، مما يمنح المهاجمين نقطة دخول لاختراق أعمق.
CVE-2026-29202: حقن تعليمات برمجية بيرل في واجهة إنشاء المستخدم
الثغرة الثانية هي الأكثر خطورة، حيث تسمح بحقن تعليمات برمجية بيرل عشوائية عبر واجهة إنشاء المستخدم (create_user API)، تحديداً في معلمة plugin. وعند وصول مدخلات غير مصححة إلى هذه المعلمة، يتمكن المهاجمون من حقن وتنفيذ تعليمات برمجية بيرل على الخادم. تعتبر ثغرات تنفيذ التعليمات البرمجية عن بُعد (RCE) من أخطر أنواع الثغرات، حيث قد تؤدي إلى السيطرة الكاملة على الخادم، سرقة البيانات، ونشر برامج ضارة أو أبواب خلفية عبر البيئات المضيفة.
CVE-2026-29203: معالجة روابط رمزية غير آمنة
تنشأ الثغرة الثالثة من معالجة روابط رمزية غير آمنة تسمح للمستخدم بتغيير أذونات ملف عشوائي على النظام. ويمكن استغلال هذه الثغرة لزعزعة استقرار العمليات الحرجة، مما يؤدي إلى ظروف الحرمان من الخدمة، كما يمكن تسلسلها مع ثغرات أخرى لرفع الامتيازات والحصول على وصول إداري غير مصرح به.
الإصدارات المتأثرة والحلول المتاحة
تؤثر الثغرات الثلاث على نفس نطاق إصدارات cPanel وWHM. وقد أصدرت cPanel تصحيحات عبر جميع الفروع النشطة. يجب على المسؤولين تحديث أنظمة cPanel إلى أحد الإصدارات التالية أو أعلى:
- 11.136.0.9
- 11.134.0.25
- 11.132.0.31
- 11.130.0.22
- 11.126.0.58
- 11.124.0.37
- 11.118.0.66
- 11.110.0.116
- 11.110.0.117
- 11.102.0.41
- 11.94.0.30
- 11.86.0.43
يجب على مستخدمي منصة WP Squared الترقية إلى الإصدار 11.136.1.10 أو أعلى. أما对于 الخوادم العاملة بنظام CentOS 6 أو CloudLinux 6، فيمكن تطبيق التحديث المباشر إلى الإصدار 110.0.114 بعد إعداد مستوى الترقية باستخدام الأمر:
sed -i "s/CPANEL=.*/CPANEL=cl6110/g" /etc/cpupdate.confكيفية تطبيق التصحيح
يمكن للمسؤولين تحديث تثبيتاتهم من cPanel فوراً عن طريق تشغيل برنامج التحديث القسري. بعد اكتمال التحديث، يجب التحقق من الإصدار المثبت باستخدام:
cat /usr/local/cpanel/versionيجب التأكد من تطابق الإصدار مع أحد الإصدارات المصححة المذكورة أعلاه قبل اعتبار عملية الإصلاح كاملة.
المخاطر والتوصيات
نظراً لأن CVE-2026-29202 يمكّن من تنفيذ التعليمات البرمجية مباشرة، وCVE-2026-29203 يفتح الباب لرفع الامتيازات، تشكل هذه الثغرات خطراً جسيماً على بيئات الاستضافة المشتركة حيث تعمل عدة مستأجرين على خادم واحد. يواجه مقدمو الاستضافة الذين يعملون بنظم cPanel غير المصححة تعرضاً كبيراً للحركة الجانبية والاختراق الكامل للخادم. يحث المسؤولون على تطبيق التصحيحات المتاحة فوراً ومراجعة سجلات الخادم بحثاً عن أي علامات تدل على نشاط استغلالي.
