CVE-2026-67401-cPanel-EmailTrack-SQLi

Hasta la última actualización de este repositorio, CVE-2026-67401 es un CVE recién asignado sin un informe técnico público confirmado, sin primitivas de explotación publicadas y sin prueba de concepto pública conocida. cPanel/WebPros divulga los detalles técnicos completos de sus vulnerabilidades solo después de que se publique una Technical Security Release (TSR), precisamente para evitar la explotación previa al parche — por lo que los detalles técnicos autorizados de bajo nivel (punto de inyección exacto, números de compilación parcheados exactos) pueden no estar aún disponibles públicamente en el momento en que usted lee esto.

Este repositorio NO contiene intencionalmente un payload de inyección SQL funcional ni una cadena de explotación. Se centra en lo que los defensores realmente necesitan en el día cero de una divulgación:

• Huella digital de versión/nivel de parche
• Escaneo de indicadores de compromiso (IOC) basado en el impacto divulgado del fallo (creación no autorizada de archivos, inyección SQL a través de la función EmailTrack, ejecución de código a nivel root)
• Triage de registros e integridad de archivos
• Guía de endurecimiento y mitigación

Una vez que cPanel publique el aviso completo y un número de compilación parcheado, establezca PATCHED_BUILD en scripts/cve-2026-67401-ioc-scan.sh (o pase --patched-build) y vuelva a ejecutar el escáner en toda su flota para obtener un resultado preciso del estado del parche.

1. Resumen de la vulnerabilidad

Temas de GitHub sugeridos para este repositorio

cve cve-2026-67401 cpanel whm sql-injection sqli rce web-hosting-security ioc incident-response vulnerability-scanner security-advisory blue-team compromise-assessment cpanel-security

Descripción en lenguaje sencillo

CVE-2026-67401 es una vulnerabilidad de inyección SQL en la funcionalidad EmailTrack de cPanel y WHM — el subsistema que registra e informa sobre la entrega de correo saliente/entrante. Según el resumen del aviso del proveedor reportado por investigadores de seguridad, un titular de cuenta cPanel autenticado que tenga privilegios relacionados con el correo (es decir, cualquier cliente de hosting ordinario con correo habilitado — no un administrador) puede proporcionar entrada manipulada que se concatena de forma insegura en una consulta SQL ejecutada por el backend de EmailTrack.

Debido a que la inyección SQL resultante permite al atacante manipular operaciones de la base de datos backend, puede abusarse de ella para crear archivos arbitrarios en el servidor. Dado que ciertas operaciones de escritura de archivos y base de datos de EmailTrack/cPanel se ejecutan en un contexto privilegiado, la escritura de archivos controlada por el atacante puede aprovecharse para lograr ejecución de código como usuario root — convirtiendo una cuenta de hosting de bajos privilegios en un compromiso total root del servidor compartido.

Este patrón (SQLi → escritura arbitraria de archivos estilo INTO OUTFILE → ejecución de código privilegiada) es una cadena de escalada clásica de "SQLi-a-RCE" y es especialmente grave en entornos de hosting compartido, donde cientos o miles de cuentas de clientes no relacionados se ejecutan en el mismo host físico/virtual — lo que significa que una sola cuenta de cliente de bajos privilegios con correo habilitado en cualquier lugar del equipo es suficiente para comprometer a cada inquilino de ese servidor.

Por qué esto importa

• cPanel y WHM impulsan una porción muy grande de la industria del hosting web — las estimaciones comúnmente citadas por investigadores sitúan su uso en millones de servidores / decenas de millones de dominios.
• El fallo requiere solo una cuenta cPanel de bajos privilegios con correo habilitado — el tipo que se vende a clientes ordinarios en hosting compartido/revendedor — no una cuenta WHM o root. Esto reduce drásticamente el listón para la explotación en hosts multiinquilino ("cliente" malicioso, cuenta de cliente comprometida de bajo valor, etc.).
• El estado final es root en el equipo, lo que significa que cada otro inquilino, cada base de datos, cada buzón y el límite de confianza del plano de control del proveedor de hosting están en riesgo.
• Los compromisos de hosting compartido de este tipo se han utilizado históricamente para despliegue masivo de webshells, preparación de ransomware, robo de credenciales y pivoteo adicional hacia la infraestructura del proveedor de hosting.

2. Versiones afectadas y estado del parche

cPanel distribuye correcciones a través de Technical Security Releases (TSR). Los números de compilación exactos para CVE-2026-67401 deben confirmarse contra el aviso de seguridad oficial de cPanel antes de confiar en cualquier número aquí — los números de compilación publicados por el proveedor son la única fuente autorizada.

Acción: Verifique su compilación instalada con:

...y compárela con la compilación corregida listada en la página de avisos de seguridad oficiales de cPanel (enlazada abajo). El escáner de este repositorio (scripts/cve-2026-67401-ioc-scan.sh) automatiza esta verificación — solo complete el número de compilación parcheado una vez que cPanel lo publique.

3. Inicio rápido — Ejecute el escáner de IOC

El escáner es de solo lectura — no modifica la configuración, no intenta explotación y no requiere acceso a internet. Escribe un informe con marca de tiempo en /root/cve-2026-67401-ioc-report-<timestamp>.txt (y JSON si python3 está disponible).

Consulte docs/DETECTION.md para saber qué hace cada verificación y cómo interpretar los resultados, y docs/REMEDIATION.md para los pasos de parcheo y endurecimiento.

Mitigación provisional (si el parcheo debe esperar)

Esto no corrige el fallo subyacente — reduce la exposición al eliminar la función EmailTrack de las listas de funciones visibles para el cliente hasta que se pueda aplicar el parche oficial. Consulte docs/REMEDIATION.md para obtener detalles y pasos de reversión.

4. Qué verifica el escáner

1. Huella digital de versión/nivel de parche — compilación instalada de cPanel y WHM frente a rangos conocidos vulnerables/parcheados (configurable).
2. Integridad de paquetes RPM de cPanel — verificación estilo rpm -Va para señalar modificaciones inesperadas en binarios de cPanel y módulos Perl/CGI.
3. Archivos sospechosos recién creados propiedad de root — escanea rutas comunes escribibles por web/correo en busca de archivos creados recientemente propiedad de root (el impacto divulgado de este fallo es la creación arbitraria no autorizada de archivos).
4. Triage de registros MySQL/MariaDB — si el registro general/de consultas lentas está habilitado, busca marcadores clásicos de SQLi y escritura de archivos (INTO OUTFILE, INTO DUMPFILE, UNION SELECT, LOAD_FILE, consultas apiladas) en proximidad a tablas/consultas relacionadas con EmailTrack.
5. Triage de registros cPanel/Exim/Apache — señala patrones de solicitud inusuales hacia endpoints relacionados con el seguimiento de correo y picos inesperados de 5xx/500 que pueden correlacionarse con intentos de inyección.
6. Procesos privilegiados inesperados / cron / cambios SUID — un barrido genérico de "¿algo escaló a root recientemente?", útil para cualquier fallo de clase SQLi→RCE, no solo este.
7. Cuentas WHM y cPanel nuevas/inesperadas, y cuentas con privilegios de correo inesperados.

Estas son heurísticas de evaluación de compromiso de propósito general construidas alrededor del impacto divulgado públicamente del fallo (creación arbitraria de archivos mediante inyección SQL en EmailTrack, escalando a root). No son una garantía de detección o no detección — trate un escaneo limpio como "no se encontraron indicadores obvios", no como prueba de que el host no está afectado.

5. Orden de prioridad de remediación

1. Parchee inmediatamente. Actualice cPanel y WHM a la compilación corregida referenciada en el aviso oficial (WHM ≫ Software ≫ Update Preferences o /scripts/upcp desde la CLI).
2. Si no puede parchear inmediatamente: restrinja qué cuentas tienen privilegios relacionados con el correo y considere proteger con firewall los puertos de gestión de WHM/cPanel (2082/2083/2086/2087) de redes no confiables.
3. Audite todas las cuentas con correo habilitado en hosts afectados — este fallo es explotable por cualquier cuenta con privilegios de correo, así que trate a cada cliente de hosting como un vector de ataque potencial (incluso involuntario/comprometido) hasta que se parchee.
4. Ejecute el escáner de IOC de este repositorio en cada host que estuviera ejecutando una compilación vulnerable, incluso después del parcheo, para descartar compromiso previo al parche.
5. Aplique la mitigación provisional (scripts/cve-2026-67401-mitigation.sh) en cualquier host que no pueda parchearse dentro del mismo día — restringe la función EmailTrack mediante WHM Feature Manager para que las cuentas con privilegios de correo ya no puedan alcanzar la ruta de código vulnerable.
6. Rote credenciales y re-imagine si se encuentran IOC — las cadenas SQLi-a-root comúnmente son seguidas por persistencia (webshells, backdoors cron, claves SSH, nuevas cuentas WHM). Un parche solo no elimina un backdoor existente.

Detalles completos: docs/REMEDIATION.md

6. Estructura del repositorio

7. Vulnerabilidades relacionadas de cPanel y WHM (2026)

CVE-2026-67401 es uno de varios problemas de seguridad de cPanel y WHM divulgados en 2026. Si está endureciendo una flota cPanel, parchee contra todos estos, no solo este:

Un patrón recurrente en casi todos estos: una función cPanel autenticada de bajos privilegios se convierte en compromiso a nivel root mediante saneamiento insuficiente de entrada en un límite de privilegios. Si su flota ha sido afectada por cualquiera de los anteriores, ejecute el escáner de IOC de este repositorio como parte de una revisión más amplia — los atacantes que entraron mediante un fallo comúnmente dejan persistencia que sobrevive al CVE específico que les permitió entrar.

8. Preguntas frecuentes

¿Mi servidor está afectado por CVE-2026-67401? Si ejecuta cPanel y WHM y aún no ha aplicado la corrección del proveedor para este CVE, trate su servidor como vulnerable. Debido a que la explotación solo requiere una cuenta de cliente con correo habilitado (no una cuenta de administrador), cada equipo de hosting compartido/revendedor con clientes de hosting ordinarios está en alcance — esto no se limita a servidores con "usuarios avanzados" no confiables.

¿Existe un exploit público o módulo de Metasploit para CVE-2026-67401? No, a la fecha de la última actualización de este repositorio. Este repositorio no proporciona uno y no lo hará.

¿Deshabilitar el seguimiento de correo corrige completamente el problema? No. Restringir la función EmailTrack (consulte scripts/cve-2026-67401-mitigation.sh) es una medida provisional que reduce la exposición, no un parche. La inyección SQL subyacente vive en el propio código de cPanel y solo puede corregirse instalando la actualización del proveedor una vez publicada.

Mi escaneo salió limpio — ¿estoy seguro? Un escaneo de IOC limpio significa que las heurísticas de este repositorio no encontraron señal — no es prueba de no compromiso, especialmente contra un atacante dirigido o cuidadoso. El estado del parche (una comparación exacta de versiones) es mucho más confiable que cualquier heurística de IOC aquí. Combine ambos.

¿Cuál es la diferencia entre este repositorio y un repositorio normal de exploit-PoC? Los repositorios de exploit-PoC reproducen la vulnerabilidad para que pueda probarse/dispararse contra un objetivo. Este repositorio deliberadamente no hace eso — sin payloads de inyección, sin cadena de explotación — y en su lugar brinda a los defensores verificación de versiones, triage de registros/archivos y herramientas de mitigación.

¿Dónde obtengo los detalles técnicos oficiales autorizados? https://sec.cpanel.net/ — los avisos de seguridad propios de cPanel son la única fuente autorizada para los números exactos de compilaciones vulnerables/parcheadas, el vector CVSS y la causa raíz técnica completa.

Más preguntas respondidas en docs/FAQ.md.

9. Cronología

Cronología completa fuente por fuente: docs/TIMELINE.md

10. Referencias

• Avisos de seguridad oficiales de cPanel: https://sec.cpanel.net/
• Documentación de cPanel y WHM: https://docs.cpanel.net/
• Documentación de Update Preferences de cPanel y WHM: https://docs.cpanel.net/whm/software/update-preferences/
• API WHM 1 de cPanel — funciones de Feature Manager (utilizadas por el script de mitigación): https://api.docs.cpanel.net/whm/apis/
• Registro CVE de MITRE (verifique el estado actual): https://www.cve.org/CVERecord?id=CVE-2026-67401
• Registro NVD (verifique el estado actual): https://nvd.nist.gov/vuln/detail/CVE-2026-67401
• Daily CyberSecurity, "CVE-2026-67401: cPanel Flaw Grants Full Control of the Server" — https://securityonline.info/cve-2026-67401-cpanel-sql-injection-flaw/
• Catálogo de vulnerabilidades explotadas conocidas de CISA (verifique si este CVE se agrega posteriormente): https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• Datos de escaneo/avistamientos de Shadowserver Foundation (útil para medir la actividad en la naturaleza una vez disponible): https://www.shadowserver.org/

⚠️ Este CVE aún no había aparecido en la base de datos pública de NVD con metadatos completos a la fecha de la última verificación — consulte los enlaces de MITRE/NVD anteriores para conocer el estado autorizado actual antes de actuar sobre cualquier detalle específico de este repositorio.

11. Descargo de responsabilidad y legal

Este repositorio se publica solo con fines defensivos — verificación de parches, evaluación de compromiso y respuesta a incidentes en infraestructura que usted posee o está autorizado a probar. Contiene sin código de exploit, sin payloads de inyección SQL y sin prueba de concepto funcional para CVE-2026-67401.

El acceso no autorizado a sistemas informáticos es ilegal en la mayoría de las jurisdicciones (p. ej., la Computer Fraud and Abuse Act de EE. UU., la Computer Misuse Act del Reino Unido y leyes equivalentes en otros lugares). Solo ejecute las herramientas de este repositorio contra sistemas que usted posee o para los que está explícitamente autorizado a evaluar.

12. Política de seguridad para este repositorio

¿Encontró un error en los scripts de escáner/mitigación en sí mismos (no en cPanel) — p. ej., algo que podría causar falsos negativos, comportamiento inseguro o cambios no intencionados en el sistema? Consulte SECURITY.md.

13. Contribuciones

Se aceptan correcciones, números actualizados de compilaciones parcheadas, firmas IOC adicionales e informes de falsos positivos — abra un issue usando la plantilla en .github/ISSUE_TEMPLATE/ioc-report.md o envíe una pull request. Cite fuentes para cualquier afirmación técnica. Consulte CONTRIBUTING.md para las pautas completas.

Licencia

MIT — consulte LICENSE.