CVE‑2026‑65643 – cPanel Domain Parking RCE Toolkit

NUR ZUR ETHISCHEN VERWENDUNG – AUTORISIERTE SICHERHEITSTESTS
Dieses Repository stellt Tools ausschließlich für autorisierte Sicherheitsexperten, Blue Teams und Penetrationstester bereit.
Unbefugter Zugriff auf Computersysteme ist illegal gemäß CFAA (USA), Computer Misuse Act (UK), TCK 243/244 (Türkei) und ähnlichen Gesetzen weltweit.

---

Schwachstellenübersicht

CVE‑2026‑65643 ist eine kritische Command-Injection-Schwachstelle in cPanel & WHM Versionen 11.x, die es einem authentifizierten cPanel-Benutzer ermöglicht, beliebige Systembefehle mit Root-Rechten über die Domain-Parking-Funktionalität auszuführen.

Funktionsweise

1. Authentifizierter Zugriff erforderlich – der Angreifer muss über ein gültiges cPanel-Konto (Benutzername/Passwort) auf dem Zielserver verfügen.
2. Domain-Parking-Injection – beim Hinzufügen einer geparkten Domain wird der Domainname nicht ordnungsgemäß bereinigt, sodass der Angreifer Shell-Befehle mithilfe von Backticks (`) einschleusen kann.
3. Befehlsausführung – der eingeschleuste Befehl wird vom System mit den Rechten des cPanel-Benutzers ausgeführt, was durch Privilegieneskalationstechniken zu Root-Rechten eskaliert werden kann.
4. Root-Rechte – da die Domain-Parking-Operation mit ausreichenden Berechtigungen ausgeführt wird, können beliebige Befehle mit hohen Privilegien ausgeführt werden.
5. Auswirkung – vollständige Serverkompromittierung, Datendiebstahl, Backdoors, Ransomware und laterale Bewegung. Sofort aktualisieren!

Betroffene Versionen

• cPanel & WHM 11.110.0.140 und früher – anfällig
• 11.134.0.52 und früher – anfällig
• 11.136.0.36 und früher – anfällig
• 11.138.0.1 und früher – anfällig
• 11.138.1.6 und später – gepatcht

Patch

• Aktualisieren Sie auf cPanel & WHM 11.138.1.6, 11.138.0.2, 11.136.0.37, 11.134.0.53 oder 11.110.0.141 oder neuer.
• Falls ein Upgrade nicht möglich ist, deaktivieren Sie die Domain-Parking-Berechtigungen für cPanel-Benutzer als vorübergehende Problemumgehung.

---

Tools

Tool	Zweck	Zielgruppe
exploit.py	Vollständiges weaponisiertes Toolkit mit Reverse Shell, Webshell, Persistenz, Datei-Lesen/Schreiben, Root-Passwortänderung, Massenscanning, Tor-Unterstützung und OPSEC-Funktionen.	Red Teams / autorisierte Pentester
verifier.py	Nicht-intrusiver Schwachstellenprüfer, der die cPanel-Version erkennt, die Injection validiert und das Risiko bewertet, ohne eine schädliche Payload auszuführen. Erstellt detaillierte Berichte.	Blue Teams / Sicherheitsauditoren

---

Funktionsvergleich

Funktion	exploit.py	verifier.py
Schwachstellenerkennung	[+]	[+]
Versionserkennung (4 Endpunkte)	[+]	[+]
Command Injection	[+]	[-]
Reverse Shell	[+]	[-]
WebShell-Upload	[+]	[-]
Persistenz (cPanel-Benutzererstellung)	[+]	[-]
Root-Passwortänderung	[+]	[-]
Datei-Lesen/Schreiben	[+]	[-]
4 Injection-Methoden (JSON/Form/CGI/API2)	[+]	[+]
Tor-Unterstützung (Anonymität)	[+]	[-]
User-Agent-Rotation (OPSEC)	[+]	[-]
Jitter (OPSEC)	[+]	[-]
Massenscanning (Multi-Thread)	[+]	[-]
Interaktive Shell	[+]	[-]
Nicht-intrusiver (sicherer) Modus	[-]	[+]
Timeline-Protokollierung	[+]	[+]
HTML-Bericht	[+]	[-]
JSON-Bericht	[+]	[+]
Log-Bereinigung (Anti-Forensik)	[+]	[+]
Proxy-Unterstützung	[+]	[+]
Benutzerdefinierter User-Agent	[+]	[+]
SSL-Verifizierungssteuerung	[+]	[+]

---

Anwendungsfallübersicht

Szenario	Empfohlenes Tool
Blue Team – Überprüfung, ob Ihre cPanel-Installation anfällig ist	verifier.py
Sicherheitsaudit – nicht-intrusive Schwachstellenbewertung	verifier.py
Red Team – autorisierte Penetrationstests mit vollständiger Ausnutzung	exploit.py
Bug Bounty – Responsible-Disclosure-Tests	verifier.py
Massenscanning – Überprüfung mehrerer Ziele auf Schwachstellen	exploit.py (nur Erkennung)
Incident Response – Überprüfung, ob Systeme kompromittiert wurden	verifier.py

---

Installation

git clone https://github.com/tc4dy/CVE-2026-65643-PoC-Toolkit
cd CVE-2026-65643-PoC-Toolkit
pip install -r requirements.txt

requirements.txt

requests
urllib3

Parameter

exploit.py Parameter

Parameter	Beschreibung
-t, --target	Ziel-cPanel-URL (z. B. https://cpanel.example.com:2083)
-l, --target-file	Datei mit Zielliste (eine pro Zeile) für Massenscanning
-u, --username	cPanel-Benutzername
-P, --password	cPanel-Passwort
-p, --port	cPanel-Port überschreiben (Standard aus URL oder 2083)
--threads	Anzahl der Threads für Multi-Target (Standard: 10)
-o, --output	JSON-Bericht in Datei speichern
--html-report	HTML-Bericht in Datei speichern
-v, --verbose	Ausführliche Ausgabe
--proxy	HTTP/HTTPS-Proxy (z. B. http://127.0.0.1:8080)
--tor	Über Tor routen (localhost:9050)
-ua, --user-agent	Benutzerdefinierter User-Agent
--no-keep-alive	Sitzung nicht am Leben halten
--delay	Verzögerung zwischen Anfragen (Standard: 2,0 s)
--jitter	Zufälliger Jitter (0-1 s) zwischen Anfragen (Standard: 0,5)
--max-retries	Maximale Wiederholungsversuche (Standard: 5)
--ssl-verify	SSL-Zertifikate verifizieren
--timeout	Anfrage-Timeout (Standard: 15 s)
--cmd	Einzelnen Befehl auf dem Ziel ausführen
--reverse-shell	Reverse Shell IP:PORT
--passwd	Root-Passwort ändern
--adduser	cPanel-Benutzer erstellen (USER DOMAIN PASSWORD)
--read	Datei lesen
--write	Datei schreiben (Pfad angeben)
--write-content	Zu schreibender Inhalt
--cleanup	Logs und Verlauf nach der Ausnutzung bereinigen
-i, --interactive	Interaktive Shell nach der Ausnutzung
--domain-suffix	Suffix für geparkte Domain (Standard: exploit.local)

verifier.py Parameter

Parameter	Beschreibung
-t, --target	Ziel-cPanel-URL (z. B. https://cpanel.example.com:2083)
-u, --username	cPanel-Benutzername
-P, --password	cPanel-Passwort
-o, --output	JSON-Bericht in Datei speichern
-v, --verbose	Ausführliche Ausgabe
--proxy	HTTP/HTTPS-Proxy (z. B. http://127.0.0.1:8080)
--tor	Über Tor routen (localhost:9050)
--ssl-verify	SSL-Zertifikate verifizieren
--timeout	Anfrage-Timeout (Standard: 15 s)
--cleanup	Logs nach dem Test bereinigen

---

Szenarien