Kaip standartinė domenų parkavimo funkcija suteikė kiekvienam vartotojui „root“ prieigą

Bendrasis prieglobos (angl. shared hosting) paslaugų teikimas remiasi pagrindiniu pažadu, kad kiekvienas vartotojas gyvena saugiame, izoliuotame konteineryje. Mes darome prielaidą, kad kaimynas tame pačiame fiziniame serveryje negali žvilgtelėti į mūsų failus arba, dar blogiau, perimti visos mašinos valdymo. Ši prielaida žlugo 2026 m. rugpjūčio 27 d., kai „cPanel“ patvirtino kritinį pažeidžiamumą, susijusį su tuo, kaip jos programinė įranga apdoroja domenų parkavimą ir papildomus domenus (angl. addon domains). Šis trūkumas, žymimas kaip CVE-2026-65643, yra architektūrinis paradoksas, kai įprasta valdymo užduotis tampa tiesioginiu keliu į „root“ teises.

Daug metų dirbau sistemų administratoriumi, prieš pereidamas į saugumo žurnalistiką. Prisimenu tą specifinį nerimą valdant tūkstančius paskyrų viename klasteryje. Pasitiki valdymo skydeliu, kad jis užtikrins ribas. Jei vartotojas gali išeiti už savo namų katalogo ribų, visas saugumo modelis yra nesėkmingas. CVE-2026-65643 yra būtent tokia nesėkmė tiesiogine prasme. Ji leidžia autentifikuotam paskyros savininkui serveryje kurti savavališkus failus. Kadangi procesas, apdorojantis šiuos domenus, dažnai veikia su padidintomis privilegijomis, rezultatas yra visiškas kodo vykdymas „root“ vartotojo vardu.

Bendrojo prieglobos žlugimo architektūra

Pažeidžiamumas slypi logikoje, kuri apdoroja priparkuotus ir papildomus domenus „cPanel“ ir „WebHost Manager“ (WHM) aplinkose. Kai vartotojas prideda domeną, sistema turi atnaujinti konfigūracijos failus ir sukurti katalogų struktūras. Šiuo konkrečiu atveju patvirtinimo logika nesugeba užkirsti kelio failų kūrimui jautriose failų sistemos vietose. Tai nėra sudėtingas išnaudojimas (angl. exploit), kuriam reikalingi pažangūs atminties sugadinimo metodai. Tai loginė klaida, kai sistema vykdo instrukcijas, kurias turėjo atmesti.

Rizikos požiūriu tai yra košmaras bendrojo prieglobos paslaugų teikėjams. Užpuolikui nereikia „nulinės dienos“ (angl. zero-day) išnaudojimo ar sudėtingos sukčiavimo kampanijos pradžiai. Jiems tereikia galiojančios, žemo lygio prieglobos paskyros. Kai jie įgyja šį atspirties tašką, jie gali naudoti papildomo domeno funkciją, kad įmestų kenkėjišką skriptą į katalogą, kuriame sistema jį įvykdys kaip „root“. Tai suteikia jiems raktus nuo visų kitų serverio paskyrų, kiekvienos duomenų bazės ir kiekvieno diske saugomo šifruoto el. laiško.

Atakos paviršiaus ir palaikymo šakų įvertinimas

„cPanel“ išleido pataisymus visoms palaikomoms versijoms, tačiau paveiktų šakų sąrašas kelia klausimų. Bendrovė nurodė versijas 11.110.0.141, 11.134.0.53, 11.136.0.37, 11.138.0.2 ir 11.138.1.7 kaip minimalias saugias versijas. Tačiau liepos mėnesį išleisti pataisymai kitiems trūkumams apėmė 11.118 ir 11.126 šakas. Šių šakų nebuvimas rugpjūčio 27 d. pranešime rodo, kad jos galėjo pasiekti savo palaikymo laikotarpio pabaigą. Administratoriai, naudojantys šias versijas, turėtų nedelsdami patikrinti jų būseną.

Žvelgiant į grėsmių kraštovaizdį, šis incidentas yra dalis didesnės valdymo skydelių pažeidžiamumų tendencijos. Anksčiau šiais metais CISA žinomų išnaudojamų pažeidžiamumų katalogas pasipildė dviem „LiteSpeed cPanel“ įskiepio trūkumais. Vienas iš jų, CVE-2026-48172, taip pat leido padidinti privilegijas iki „root“. „cPanel“ ekosistema yra didžiulis taikinys, nes ji yra de facto standartas svetainių prieglobos pramonėje. Kai atsiranda toks trūkumas kaip CVE-2026-65643, jis vienu metu paveikia milijonus svetainių.

Paliktas teismo ekspertizės pėdsakas

Serverio lopymas sustabdo kraujavimą, tačiau nepasako, ar vagis jau yra viduje. „cPanel“ nepateikė konkrečių šio trūkumo kompromitavimo indikatorių. Įsilaužimo atveju teismo ekspertizės analitikai turi ieškoti artefaktų, sukurtų išnaudojimo etape. Užkulisiuose savavališkų failų kūrimas palieka pėdsakus „Apache“ klaidų žurnaluose (angl. error logs) ir „cPanel“ prieigos žurnaluose. Kai panašus trūkumas anksčiau šį mėnesį paveikė „Phusion Passenger“, „cPanel“ rekomendavo naudoti „grep“ įrankį, kad žurnaluose būtų ieškoma specifinių užklausų modelių.

„Plesk“, giminingas „cPanel“ produktas, neseniai įvykusio panašaus incidento metu pateikė išsamesnių patarimų savo vartotojams. Jie pasiūlė patikrinti /etc/ld.so.preload failą dėl netikėtų įrašų. Šis failas yra dažnas užpuolikų, norinčių išlaikyti pastovumą „Linux“ sistemoje, taikinys. Jei čia įkeliama kenkėjiška biblioteka, ji gali perimti sistemos iškvietimus ir paslėpti užpuoliko buvimą nuo standartinių stebėjimo įrankių. Nesaitant lopymo, administratorius turi daryti prielaidą, kad bet kuris serveris su nepatikimais vartotojais buvo taikinys.

Proaktyvus kalbėjimas apie švelninimo priemones

Serveriuose, kuriuose sukonfigūruoti automatiniai kasdieniai atnaujinimai, pataisymas atkeliavo be rankinio įsikišimo. Tai yra vienas iš šiuolaikinio, centralizuoto atnaujinimo modelio privalumų. Tačiau daugelis įmonių aplinkų išjungia automatinius atnaujinimus, kad išvengtų paslaugų trikdžių. Tiems administratoriams komanda /scripts/upcp --force yra vienintelis būdas užtikrinti, kad serveris nebebūtų išnaudojamas. Tai turėtų būti atlikta per „root“ SSH sesiją nedelsiant.

Viena detalė oficialioje rekomendacijoje lieka neaiški. „cPanel“ anksčiau įspėjo, kad „Exim“ trūkumas gali leisti padidinti privilegijas iš „Team User“ subpaskyrų. Rugpjūčio 27 d. pranešime nenurodoma, ar šios subpaskyros taip pat gali išnaudoti papildomų domenų pažeidžiamumą. „Nulinio pasitikėjimo“ (angl. zero trust) aplinkoje turėtumėte daryti prielaidą, kad bet kuri paskyra, turinti leidimą valdyti domenus, yra potencialus vektorius. Apriboti, kas gali pridėti domenus, yra logiška atsakomoji priemonė, kol bus patikrintas pataisymas.

Duomenų vientisumas ir C-I-A triada

Kai vertiname tai per C-I-A triados (konfidencialumas, vientisumas, prieinamumas) prizmę, poveikis vientisumui ir konfidencialumui yra visiškas. „Root“ vartotojas gali skaityti kiekvieną failą (konfidencialumas) ir keisti bet kurią duomenų bazę (vientisumas). Jie taip pat gali išjungti visą sistemą arba ištrinti atsargines kopijas (prieinamumas). Štai kodėl CVSS balo nebuvimas CVE įraše rugpjūčio 28 d. yra stebinantis. Atsižvelgiant į aprašymą, šis trūkumas atitinka visus kriterijus 9.8 arba 10.0 balui.

Mačiau daug administratorių, kurie valdymo skydelio atnaujinimus laiko žemu prioritetu, nes turi ugniasienę. Tačiau ugniasienė yra pasenęs pilies griovys, kai užpuolikas jau yra viduje kaip teisėtas klientas. Tinklo perimetras neapsaugo jūsų nuo vartotojo, kuris turi galiojančius prisijungimo duomenis prie „cPanel“. Šiuo atveju pati programinė įranga tampa skaitmeniniu Trojos arkliu.

Skubūs veiksmai administratoriams

Saugumas yra reaktyvus žaidimas, tačiau jūsų reakcijos laikas lemia žalos mastą. Jei valdote „cPanel“ serverį, pirmasis žingsnis yra patikrinti dabartinę versiją. Tai galite rasti WHM skiltyje „Server Configuration“. Jei nenaudojate vienos iš aukščiau paminėtų pataisytų versijų, valdote serverį, kuriame kiekvienas klientas yra potencialus „root“ vartotojas.

1. Prisijunkite prie savo serverio kaip „root“ per SSH.
2. Paleiskite atnaujinimo skriptą rankiniu būdu, kad apeitumėte kasdienį tvarkaraštį: /scripts/upcp --force.
3. Patikrinkite /etc/ld.so.preload failą, ar jame nėra bibliotekų, kurių neatpažįstate.
4. Audituokite savo „Apache“ žurnalus dėl neįprastos veiklos, susijusios su domenų pridėjimu per pastarąsias 48 valandas.
5. Patvirtinkite, kad visos „Team User“ paskyros turi tik tas teises, kurių joms griežtai reikia.

Šaltiniai: cPanel Security Advisories, CISA Known Exploited Vulnerabilities Catalog, NIST National Vulnerability Database, Plesk Technical Support Documentation, MITRE ATT&CK Framework.

Atsakomybės apribojimas: Šis straipsnis yra skirtas tik informaciniams ir edukaciniams tikslams ir nepakeičia profesionalaus kibernetinio saugumo audito ar incidentų valdymo paslaugų.