CVE-2026-67401-cPanel-EmailTrack-SQLi

# Schreibgeschützter IOC-Scanner und Mitigation-Toolkit für cPanel & WHM EmailTrack SQL-Injection (CVE-2026-67401) Führt Versions-Fingerprinting, Dateiintegritätsprüfungen und Log-Triage durch und bietet Härtungsempfehlungen für Verteidiger.

Zum Zeitpunkt der letzten Aktualisierung dieses Repositorys ist CVE-2026-67401 eine neu vergebene CVE ohne öffentlich bestätigten technischen Bericht, ohne veröffentlichte Exploit-Primitive und ohne bekannten öffentlichen Proof-of-Concept. cPanel/WebPros veröffentlicht vollständige technische Details zu seinen Schwachstellen erst nachdem ein Technical Security Release (TSR) ausgeliefert wurde, um Exploitation vor dem Patch zu verhindern — daher sind maßgebliche Low-Level-Details (exakter Injection-Punkt, exakte gepatchte Build-Nummern) zum Zeitpunkt Ihrer Lektüre möglicherweise noch nicht öffentlich verfügbar.

Dieses Repository enthält bewusst KEINEN funktionierenden SQL-Injection-Payload oder Exploit-Chain. Es konzentriert sich auf das, was Verteidiger am Tag null einer Offenlegung tatsächlich benötigen:

• Versions-/Patch-Level-Fingerprinting
• Indicator-of-Compromise (IOC)-Scanning basierend auf der offengelegten Auswirkung des Bugs (unerlaubte Dateierstellung, SQL-Injection durch die EmailTrack-Funktion, Code-Ausführung auf Root-Ebene)
• Log- und Datei-Integritäts-Triage
• Härtungs- und Mitigationsanleitung

Sobald cPanel die vollständige Ankündigung und eine gepatchte Build-Nummer veröffentlicht, setzen Sie PATCHED_BUILD in scripts/cve-2026-67401-ioc-scan.sh (oder übergeben Sie --patched-build) und führen Sie den Scanner erneut über Ihre gesamte Flotte aus, um ein genaues Patch-Status-Ergebnis zu erhalten.

1. Zusammenfassung der Schwachstelle

Vorgeschlagene GitHub-Themen für dieses Repository

cve cve-2026-67401 cpanel whm sql-injection sqli rce web-hosting-security ioc incident-response vulnerability-scanner security-advisory blue-team compromise-assessment cpanel-security

Beschreibung in einfacher Sprache

CVE-2026-67401 ist eine SQL-Injection-Schwachstelle in der EmailTrack-Funktionalität von cPanel & WHM — dem Subsystem, das ausgehende/eingehende E-Mail-Zustellungen protokolliert und darüber berichtet. Laut der von Sicherheitsforschern gemeldeten Zusammenfassung des Herstellerhinweises kann ein authentifizierter cPanel-Account-Inhaber mit Mail-bezogenen Privilegien (d. h. jeder normale Hosting-Kunde mit aktiviertem E-Mail — kein Administrator) konstruierte Eingaben liefern, die unsicher in eine SQL-Abfrage concateniert werden, die vom EmailTrack-Backend ausgeführt wird.

Da die resultierende SQL-Injection es dem Angreifer ermöglicht, Backend-Datenbankoperationen zu manipulieren, kann sie missbraucht werden, um beliebige Dateien auf dem Server zu erstellen. Da bestimmte EmailTrack/cPanel-Datenbank- und Dateischreiboperationen in einem privilegierten Kontext ausgeführt werden, kann der vom Angreifer kontrollierte Dateischreibvorgang genutzt werden, um Code-Ausführung als root-Benutzer zu erreichen — wodurch ein Account mit niedrigen Privilegien auf einem Hosting-Server in eine vollständige Root-Kompromittierung des Shared Servers umgewandelt wird.

Dieses Muster (SQLi → INTO OUTFILE-artiges beliebiges Dateischreiben → privilegierte Code-Ausführung) ist eine klassische „SQLi-to-RCE"-Eskalationskette und besonders schwerwiegend in Shared-Hosting-Umgebungen, in denen Hunderte oder Tausende unabhängiger Kundenkonten auf demselben physischen/virtuellen Host laufen — was bedeutet, dass ein einzelner Account mit niedrigen Privilegien und aktiviertem E-Mail irgendwo auf dem System ausreicht, um jeden Mandanten auf diesem Server zu kompromittieren.

Warum das wichtig ist

• cPanel & WHM betreibt einen sehr großen Anteil der Webhosting-Branche — von Forschern häufig zitierte Schätzungen gehen von Millionen von Servern / zig Millionen Domains aus.
• Der Bug erfordert nur einen Account mit niedrigen Privilegien und aktiviertem E-Mail — die Art, die normalen Kunden auf Shared-/Reseller-Hosting verkauft wird — nicht einen WHM- oder Root-Account. Dies senkt die Hürde für Exploitation auf Multi-Tenant-Hosts dramatisch (böswilliger „Kunde", kompromittierter Kundenaccount mit geringem Wert usw.).
• Der Endzustand ist Root auf dem System, was jeden anderen Mandanten, jede Datenbank, jedes Postfach und die Vertrauensgrenze der Kontrollebene des Hosting-Anbieters gefährdet.
• Shared-Hosting-Kompromittierungen dieser Art wurden in der Vergangenheit für Massen-Webshell-Bereitstellung, Ransomware-Staging, Datendiebstahl von Anmeldeinformationen und weitere Pivoting-Angriffe in die Infrastruktur des Hosting-Anbieters genutzt.

2. Betroffene Versionen & Patch-Status

cPanel liefert Fixes über Technical Security Releases (TSRs) aus. Exakte Build-Nummern für CVE-2026-67401 sollten gegen den offiziellen cPanel-Sicherheitshinweis bestätigt werden, bevor Sie sich auf hier genannte Zahlen verlassen — vom Hersteller veröffentlichte Build-Nummern sind die einzige maßgebliche Quelle.

Aktion: Überprüfen Sie Ihren installierten Build mit:

...und vergleichen Sie ihn mit dem Fixed Build, der auf der Seite der offiziellen Sicherheitshinweise von cPanel aufgeführt ist (unten verlinkt). Der Scanner dieses Repositorys (scripts/cve-2026-67401-ioc-scan.sh) automatisiert diese Prüfung — füllen Sie einfach die gepatchte Build-Nummer aus, sobald cPanel sie veröffentlicht.

3. Schnellstart — IOC-Scanner ausführen

Der Scanner ist schreibgeschützt — er ändert keine Konfiguration, versucht keine Exploitation und benötigt keinen Internetzugang. Er schreibt einen mit Zeitstempel versehenen Bericht nach /root/cve-2026-67401-ioc-report-<timestamp>.txt (und JSON, wenn python3 verfügbar ist).

Siehe docs/DETECTION.md für Details zu jeder Prüfung und zur Interpretation der Ergebnisse sowie docs/REMEDIATION.md für Patch- und Härtungsschritte.

Übergangs-Mitigation (falls das Patchen warten muss)

Dies behebt den zugrunde liegenden Fehler nicht — es reduziert die Exposition, indem die EmailTrack-Funktion aus den kundenorientierten Funktionslisten entfernt wird, bis der offizielle Patch angewendet werden kann. Siehe docs/REMEDIATION.md für Details und Rollback-Schritte.

4. Was der Scanner prüft

1. Versions-/Patch-Level-Fingerprinting — installierter cPanel & WHM-Build vs. bekannte verwundbare/gepatchte Bereiche (konfigurierbar).
2. cPanel-RPM/Paket-Integrität — rpm -Va-artige Verifizierung, um unerwartete Änderungen an cPanel-Binärdateien und Perl/CGI-Modulen zu kennzeichnen.
3. Verdächtige neu erstellte root-eigene Dateien — scannt gängige Web-/Mail-beschreibbare Pfade auf kürzlich erstellte Dateien im Besitz von root (die offengelegte Auswirkung dieses Bugs ist unerlaubte beliebige Dateierstellung).
4. MySQL/MariaDB-Log-Triage — wenn das General-/Slow-Query-Log aktiviert ist, durchsucht es nach klassischen SQLi- und Dateischreib-Markern (INTO OUTFILE, INTO DUMPFILE, UNION SELECT, LOAD_FILE, gestapelte Abfragen) in der Nähe von EmailTrack-bezogenen Tabellen/Abfragen.
5. cPanel/Exim/Apache-Log-Triage — kennzeichnet ungewöhnliche Anfragemuster an E-Mail-Tracking-bezogene Endpunkte und unerwartete 5xx/500-Spitzen, die mit Injection-Versuchen korrelieren können.
6. Unerwartete privilegierte Prozesse / Cron / SUID-Änderungen — ein generischer „Hat sich kürzlich etwas auf root eskaliert?"-Sweep, nützlich für jeden SQLi→RCE-Klassen-Bug, nicht nur diesen.
7. Neue/unerwartete WHM- & cPanel-Accounts sowie Accounts mit unerwarteten Mail-Privilegien.

Dies sind Allzweck-Heuristiken zur Kompromittierungsbewertung, die um die öffentlich offengelegte Auswirkung des Bugs herum aufgebaut sind (beliebige Dateierstellung durch SQL-Injection in EmailTrack, Eskalation zu root). Sie sind keine Garantie für Erkennung oder Nicht-Erkennung — behandeln Sie einen sauberen Scan als „keine offensichtlichen Indikatoren gefunden", nicht als Beweis, dass der Host nicht betroffen ist.

5. Prioritätsreihenfolge der Behebung

1. Sofort patchen. Aktualisieren Sie cPanel & WHM auf den Fixed Build, der im offiziellen Hinweis referenziert wird (WHM ≫ Software ≫ Update Preferences oder /scripts/upcp über die CLI).
2. Wenn Sie nicht sofort patchen können: schränken Sie ein, welche Accounts Mail-bezogene Privilegien haben, und erwägen Sie, die WHM/cPanel-Verwaltungsports (2082/2083/2086/2087) gegenüber nicht vertrauenswürdigen Netzwerken per Firewall abzusichern.
3. Auditieren Sie alle Mail-fähigen Accounts auf betroffenen Hosts — dieser Bug ist von jedem Account mit Mail-Privilegien ausnutzbar. Behandeln Sie daher jeden Hosting-Kunden bis zum Patch als potenziellen (auch unwissentlichen/kompromittierten) Angreifer-Vektor.
4. Führen Sie den IOC-Scanner aus diesem Repository auf jedem Host aus, der einen verwundbaren Build ausgeführt hat, auch nach dem Patchen, um eine Kompromittierung vor dem Patch auszuschließen.
5. Wenden Sie die Übergangs-Mitigation an (scripts/cve-2026-67401-mitigation.sh) auf jedem Host, der nicht am selben Tag gepatcht werden kann — sie schränkt die EmailTrack-Funktion über den WHM Feature Manager ein, sodass Mail-privilegierte Accounts den verwundbaren Codepfad nicht mehr erreichen können.
6. Anmeldeinformationen rotieren und neu abbilden, wenn IOCs gefunden werden — SQLi-to-Root-Ketten werden häufig von Persistenz gefolgt (Webshells, Cron-Backdoors, SSH-Keys, neue WHM-Accounts). Ein Patch allein entfernt keine bestehende Hintertür.

Vollständige Details: docs/REMEDIATION.md

6. Repository-Struktur

7. Verwandte cPanel & WHM-Schwachstellen (2026)

CVE-2026-67401 ist eine von mehreren cPanel & WHM-Sicherheitsproblemen, die 2026 offengelegt wurden. Wenn Sie eine cPanel-Flotte härten, patchen Sie gegen alle diese, nicht nur gegen diese eine:

Ein wiederkehrendes Muster bei fast allen diesen: Eine Funktion mit niedrigen Privilegien und authentifiziertem Zugriff wird durch unzureichende Eingabe-Sanitisierung an einer Privilegiengrenze zu Root-Level-Kompromittierung. Wenn Ihre Flotte von einer der oben genannten betroffen war, führen Sie den IOC-Scanner in diesem Repository als Teil einer breiteren Überprüfung aus — Angreifer, die über einen Bug hereinkamen, hinterlassen häufig Persistenz, die die spezifische CVE überlebt, die ihnen den Zugang verschaffte.

8. Häufig gestellte Fragen

Ist mein Server von CVE-2026-67401 betroffen? Wenn Sie cPanel & WHM ausführen und den Hersteller-Fix für diese CVE noch nicht angewendet haben, behandeln Sie Ihren Server als verwundbar. Da die Exploitation nur einen Mail-fähigen Kundenaccount erfordert (keinen Admin-Account), ist jede Shared-/Reseller-Hosting-Box mit normalen Hosting-Kunden im Umfang — dies ist nicht auf Server mit nicht vertrauenswürdigen „Power-Usern" beschränkt.

Gibt es einen öffentlichen Exploit oder ein Metasploit-Modul für CVE-2026-67401? Nicht zum Zeitpunkt der letzten Aktualisierung dieses Repositorys. Dieses Repository stellt keinen bereit und wird dies auch nicht tun.

Behebt das Deaktivieren der E-Mail-Verfolgung das Problem vollständig? Nein. Das Einschränken der EmailTrack-Funktion (siehe scripts/cve-2026-67401-mitigation.sh) ist eine Übergangslösung, die die Exposition reduziert, kein Patch. Die zugrunde liegende SQL-Injection befindet sich im eigenen Code von cPanel und kann nur durch die Installation des Hersteller-Updates behoben werden, sobald es veröffentlicht ist.

Mein Scan war sauber — bin ich sicher? Ein sauberer IOC-Scan bedeutet, dass die Heuristiken in diesem Repository kein Signal gefunden haben — es ist kein Beweis für Nicht-Kompromittierung, insbesondere gegen einen gezielten oder vorsichtigen Angreifer. Der Patch-Status (ein exakter Versionsvergleich) ist weitaus zuverlässiger als jede IOC-Heuristik hier. Kombinieren Sie beides.

Was ist der Unterschied zwischen diesem Repository und einem normalen Exploit-PoC-Repository? Exploit-PoC-Repositorys reproduzieren die Schwachstelle, damit sie getestet/auf ein Ziel abgefeuert werden kann. Dieses Repository tut dies bewusst nicht — keine Injection-Payloads, keine Exploit-Kette — und bietet Verteidigern stattdessen Versionsprüfung, Log-/Datei-Triage und Mitigations-Tooling.

Wo erhalte ich die maßgeblichen, offiziellen technischen Details? https://sec.cpanel.net/ — Die eigenen Sicherheitshinweise von cPanel sind die einzige maßgebliche Quelle für die exakten verwundbaren/gepatchten Build-Nummern, den CVSS-Vector und die vollständige technische Ursache.

Weitere Fragen werden in docs/FAQ.md beantwortet.

9. Zeitplan

Vollständiger Quellen-für-Quellen-Zeitplan: docs/TIMELINE.md

10. Referenzen

• Offizielle Sicherheitshinweise von cPanel: https://sec.cpanel.net/
• cPanel & WHM-Dokumentation: https://docs.cpanel.net/
• cPanel & WHM Update Preferences-Dokumentation: https://docs.cpanel.net/whm/software/update-preferences/
• cPanel WHM API 1 — Feature-Manager-Funktionen (vom Mitigations-Skript verwendet): https://api.docs.cpanel.net/whm/apis/
• MITRE-CVE-Eintrag (aktuellen Status prüfen): https://www.cve.org/CVERecord?id=CVE-2026-67401
• NVD-Eintrag (aktuellen Status prüfen): https://nvd.nist.gov/vuln/detail/CVE-2026-67401
• Daily CyberSecurity, „CVE-2026-67401: cPanel Flaw Grants Full Control of the Server" — https://securityonline.info/cve-2026-67401-cpanel-sql-injection-flaw/
• Katalog bekannter ausgenutzter Schwachstellen von CISA (prüfen, ob diese CVE später hinzugefügt wird): https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• Scan-/Sichtungsdaten der Shadowserver Foundation (nützlich zur Einschätzung der In-the-Wild-Aktivität, sobald verfügbar): https://www.shadowserver.org/

⚠️ Diese CVE war zum Zeitpunkt der letzten Prüfung noch nicht mit vollständigen Metadaten in der öffentlichen NVD-Datenbank erschienen — prüfen Sie die MITRE/NVD-Links oben für den aktuellen maßgeblichen Status, bevor Sie auf Grundlage von Details in diesem Repository handeln.

11. Haftungsausschluss & Rechtliches

Dieses Repository wird ausschließlich zu Verteidigungszwecken veröffentlicht — Patch-Verifizierung, Kompromittierungsbewertung und Incident Response auf Infrastruktur, die Sie besitzen oder für die Sie autorisiert sind, Tests durchzuführen. Es enthält keinen Exploit-Code, keine SQL-Injection-Payloads und keinen funktionierenden Proof-of-Concept für CVE-2026-67401.

Unbefugter Zugriff auf Computersysteme ist in den meisten Rechtsordnungen illegal (z. B. der US Computer Fraud and Abuse Act, der UK Computer Misuse Act und entsprechende Gesetze anderswo). Führen Sie die Tooling in diesem Repository nur gegen Systeme aus, die Sie besitzen oder für die Sie ausdrücklich zur Bewertung autorisiert sind.

12. Sicherheitsrichtlinie für dieses Repository

Einen Fehler in den Scanner-/Mitigations-Skripten selbst gefunden (nicht in cPanel) — z. B. etwas, das False Negatives, unsicheres Verhalten oder unbeabsichtigte Systemänderungen verursachen könnte? Siehe SECURITY.md.

13. Mitwirken

Korrekturen, aktualisierte Patched-Build-Nummern, zusätzliche IOC-Signaturen und False-Positive-Meldungen sind willkommen — eröffnen Sie ein Issue mit der Vorlage in .github/ISSUE_TEMPLATE/ioc-report.md oder reichen Sie einen Pull Request ein. Bitte zitieren Sie Quellen für alle technischen Behauptungen. Siehe CONTRIBUTING.md für die vollständigen Richtlinien.

Lizenz

MIT — siehe LICENSE.