ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) พบรายงานการเปิดเผยช่องโหว่ใน cPanel & WHM และ WP Squared หมายเลข CVE-2026-58048 ซึ่งเป็นช่องโหว่ระดับ Critical ที่ทำให้ผู้ใช้งาน cPanel ที่ผ่านการยืนยันตัวตนและมีสิทธิ์ใช้งาน MySQL/MariaDB สามารถรันคำสั่งฐานข้อมูลด้วยสิทธิ์ของผู้ดูแลระบบฐานข้อมูลได้ ส่งผลให้เกิดการยกระดับสิทธิ์จากบัญชี cPanel ไปเป็นสิทธิ์ระดับผู้ดูแลระบบฐานข้อมูล และอาจนำไปสู่การเข้าถึงหรือแก้ไขข้อมูลโดยไม่ได้รับอนุญาต[1]
1. รายละเอียดช่องโหว่
ช่องโหว่ CVE-2026-58048 (CVSS v4.0: 9.4)[2] ส่งผลกระทบต่อ cPanel & WHM เวอร์ชันที่ยังไม่ได้รับการแก้ไข รวมถึง WP Squared โดยการโจมตีต้องอาศัยบัญชี cPanel ที่ถูกต้องและมีสิทธิ์เข้าถึงฟีเจอร์ MySQL/MariaDB ผู้โจมตีอาจรันคำสั่งฐานข้อมูลด้วยสิทธิ์ระดับผู้ดูแลระบบฐานข้อมูล และในบางกรณีอาจขยายผลไปถึงการบุกรุกระดับระบบปฏิบัติการได้ ขึ้นอยู่กับระบบปฏิบัติการและการตั้งค่าฐานข้อมูลของเครื่องแม่ข่าย
ช่องโหว่นี้เกี่ยวข้องกับกระบวนการเปลี่ยนชื่อฐานข้อมูลของ cPanel โดยข้อมูลจาก CNA ระบุว่า SQL mode ไม่ถูกคงค่าไว้อย่างเหมาะสมระหว่างการเปลี่ยนชื่อฐานข้อมูล ทำให้คำสั่ง SQL ถูกรันในบริบทของผู้ดูแลระบบฐานข้อมูล ทั้งนี้ cPanel advisory ระบุช่องโหว่ดังกล่าวในมุมของ privilege escalation ขณะที่ CNA จัดประเภทเป็น CWE-89 หรือ SQL Injection
2. ผลิตภัณฑ์ที่ได้รับผลกระทบ[3]
2.1 cPanel & WHM ทุกเวอร์ชันที่ได้รับการสนับสนุนและยังไม่ได้อัปเดตเป็น build ที่แก้ไขแล้ว
2.2 WP Squared เวอร์ชันที่ยังไม่ได้อัปเดตเป็น build ที่แก้ไขแล้ว
3. เวอร์ชันที่ได้รับการแก้ไขโดย cPanel ได้เผยแพร่อัปเดตแล้วในเวอร์ชันและหมายเลข Build ต่อไปนี้
– 11.110.0.137
– 11.118.0.71
– 11.126.0.78
– 11.134.0.48
– 11.136.0.32
– 138.1.6 สำหรับ WP Squared
4. ช่องโหว่ที่ควรตรวจสอบเพิ่มเติม
นอกจาก CVE-2026-58048 ยังมีช่องโหว่อื่นที่ควรตรวจสอบ ดังต่อไปนี้[4]
4.1 CVE-2026-58047 เป็นช่องโหว่ HTTP Request Smuggling ใน cpsrvd อาจทำให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนสามารถปรับเปลี่ยน response ที่ส่งไปยังผู้ใช้งานรายอื่นบนเครื่องแม่ข่ายเดียวกัน และอาจทำให้ข้อมูลยืนยันตัวตนรั่วไหลได้
4.2 ช่องโหว่ใน Exim ที่เกี่ยวข้องกับไฟล์ .forward ของผู้ใช้ภายในระบบ ซึ่งอาจทำให้เกิด unsafe string expansion ใน redirect router ภายใต้การตั้งค่า pipe transport บางรูปแบบ และอาจทำให้เกิดการยกระดับสิทธิ์จาก Team User sub-accounts ได้
5. ผลกระทบที่อาจเกิดขึ้น
5.1 ผู้ใช้งาน cPanel ที่ผ่านการยืนยันตัวตนอาจรันคำสั่งฐานข้อมูลด้วยสิทธิ์ระดับผู้ดูแลระบบฐานข้อมูลได้
5.2 ข้อมูลในฐานข้อมูลของผู้ใช้งานรายอื่นหรือข้อมูลระบบอาจถูกเข้าถึง แก้ไข หรือลบโดยไม่ได้รับอนุญาต
5.3 ระบบ shared hosting ความเสี่ยงอาจสูงขึ้น เนื่องจากมีผู้ใช้งานหลายรายอยู่บนเครื่องแม่ข่ายเดียวกัน
5.4 ผู้โจมตีอาจใช้ช่องโหว่ร่วมกับการตั้งค่าฐานข้อมูลหรือระบบปฏิบัติการบางรูปแบบ เพื่อขยายผลไปสู่การควบคุมระบบในระดับที่สูงขึ้น
5.5 ช่องโหว่ที่เกี่ยวข้องกับ cpsrvd และ Exim อาจเพิ่มความเสี่ยงต่อการรั่วไหลของข้อมูลยืนยันตัวตน การข้ามขอบเขตสิทธิ์ระหว่างผู้ใช้งาน หรือการยกระดับสิทธิ์ภายในระบบ
6. แนวทางการป้องกันและแก้ไข
6.1 เร่งอัปเดต cPanel & WHM และ WP Squared เป็นเวอร์ชันที่ได้รับการแก้ไขแล้ว
6.2 ผู้ดูแลระบบสามารถอัปเดตผ่าน WHM หรือใช้คำสั่ง /usr/local/cpanel/scripts/upcp –force ตามแนวทางของ cPanel
6.3 หากยังไม่สามารถอัปเดตได้ทันที ให้พิจารณาถอดสิทธิ์การใช้งานฟีเจอร์ MySQL/MariaDB จากบัญชี cPanel ชั่วคราว โดยฐานข้อมูลเดิมจะยังทำงานอยู่ แต่ผู้ใช้งานจะไม่สามารถเพิ่มหรือลบฐานข้อมูลได้
6.4 สำหรับช่องโหว่ CVE-2026-58047 หากยังไม่สามารถอัปเดตได้ทันที ให้พิจารณาปิด backend connection reuse ของ cpsrvd ตามคำแนะนำของ cPanel โดยต้องพิจารณาผลกระทบด้าน latency และการใช้ CPU บนเครื่องแม่ข่ายที่มีปริมาณใช้งานสูง
6.5 ตรวจสอบบัญชี cPanel, Team User sub-account และบัญชีฐานข้อมูลที่มีสิทธิ์ผิดปกติ โดยเฉพาะระบบ shared hosting หรือระบบที่ให้ลูกค้าภายนอกใช้งาน
6.6 ตรวจสอบ log ของ cPanel, WHM, MySQL/MariaDB และ Exim เพื่อค้นหาคำสั่งฐานข้อมูลผิดปกติ การเปลี่ยนชื่อฐานข้อมูล การแก้ไขสิทธิ์ฐานข้อมูล หรือพฤติกรรมที่อาจบ่งชี้การยกระดับสิทธิ์
6.7 จำกัดการเข้าถึง WHM/cPanel interface เฉพาะเครือข่ายที่ได้รับอนุญาต และเปิดใช้งาน MFA สำหรับบัญชีผู้ดูแลระบบและบัญชีผู้ใช้งานที่มีสิทธิ์สูง
6.8 สำรองข้อมูลสำคัญและตรวจสอบความสมบูรณ์ของฐานข้อมูลหลังอัปเดต โดยเฉพาะเครื่องแม่ข่ายที่ให้บริการ shared hosting
แหล่งอ้างอิง
[1] https://dg.th/p4e6bfdk8z
[2] https://dg.th/coa23klhie
[3] https://dg.th/zvlbfn8git
[4] https://dg.th/abg1rol9j6