CVE-2026-67401-cPanel-EmailTrack-SQLi

# cPanel और WHM EmailTrack SQL इंजेक्शन (CVE-2026-67401) के लिए रीड-ओनली IOC स्कैनर और शमन टूलकिट संस्करण फ़िंगरप्रिंटिंग, फ़ाइल अखंडता जाँच, लॉग ट्राइएज करता है, और रक्षकों के लिए हार्डनिंग मार्गदर्शन प्रदान करता है।

इस रिपॉजिटरी के अंतिम अपडेट के अनुसार, CVE-2026-67401 एक नया-नियुक्त CVE है जिसका कोई सार्वजनिक रूप से पुष्टि किया गया तकनीकी विवरण, कोई प्रकाशित एक्सप्लॉइटेशन प्रिमिटिव, और कोई ज्ञात सार्वजनिक प्रूफ-ऑफ-कॉन्सेप्ट नहीं है। cPanel/WebPros अपनी भेद्यताओं के लिए पूर्ण तकनीकी विवरण केवल तकनीकी सुरक्षा रिलीज़ (TSR) जारी होने के बाद ही प्रकट करता है, विशेष रूप से पैच-पूर्व एक्सप्लॉइटेशन को रोकने के लिए — इसलिए आधिकारिक निम्न-स्तरीय विवरण (सटीक इंजेक्शन बिंदु, सटीक पैच किए गए बिल्ड नंबर) उस समय सार्वजनिक रूप से उपलब्ध नहीं हो सकते हैं जब आप इसे पढ़ रहे हैं।

इस रिपॉजिटरी में जानबूझकर कोई कार्यशील SQL इंजेक्शन पेलोड या एक्सप्लॉइट चेन नहीं है। यह उस पर केंद्रित है जो डिफेंडरों को प्रकटीकरण के शून्य दिन पर वास्तव में चाहिए:

• संस्करण/पैच-स्तर फिंगरप्रिंटिंग
• बग के प्रकट प्रभाव के आधार पर समझौते के संकेतक (IOC) स्कैनिंग (अनधिकृत फ़ाइल निर्माण, EmailTrack सुविधा के माध्यम से SQL इंजेक्शन, रूट-स्तरीय कोड निष्पादन)
• लॉग और फ़ाइल-अखंडता ट्राइएज
• हार्डनिंग और शमन मार्गदर्शन

एक बार cPanel पूर्ण सलाह और पैच किए गए बिल्ड नंबर प्रकाशित कर दे, तो scripts/cve-2026-67401-ioc-scan.sh में PATCHED_BUILD सेट करें (या --patched-build पास करें) और सटीक पैच-स्थिति परिणाम के लिए अपने पूरे फ्लीट में स्कैनर को फिर से चलाएं।

1. भेद्यता सारांश

इस रिपॉजिटरी के लिए सुझाए गए GitHub टॉपिक

cve cve-2026-67401 cpanel whm sql-injection sqli rce web-hosting-security ioc incident-response vulnerability-scanner security-advisory blue-team compromise-assessment cpanel-security

सरल-भाषा विवरण

CVE-2026-67401 cPanel और WHM की EmailTrack कार्यक्षमता में एक SQL इंजेक्शन भेद्यता है — वह सबसिस्टम जो आउटबाउंड/इनबाउंड ईमेल डिलीवरी पर लॉग और रिपोर्ट करता है। सुरक्षा शोधकर्ताओं द्वारा रिपोर्ट किए गए विक्रेता सलाह सारांश के अनुसार, एक प्रमाणित cPanel खाता धारक जिसके पास मेल-संबंधित विशेषाधिकार हैं (यानी, ईमेल सक्षम वाला कोई भी सामान्य होस्टिंग ग्राहक — प्रशासक नहीं) ऐसा क्राफ्टेड इनपुट प्रदान कर सकता है जो EmailTrack के बैकएंड द्वारा निष्पादित SQL क्वेरी में असुरक्षित रूप से संयोजित किया जाता है।

क्योंकि परिणामी SQL इंजेक्शन हमलावर को बैकएंड डेटाबेस संचालन में हेरफेर करने की अनुमति देता है, इसका दुरुपयोग सर्वर पर मनमानी फ़ाइलें बनाने के लिए किया जा सकता है। चूंकि कुछ EmailTrack/cPanel डेटाबेस और फ़ाइल-लेखन संचालन एक विशेषाधिकार प्राप्त संदर्भ में चलते हैं, हमलावर-नियंत्रित फ़ाइल लेखन का उपयोग root उपयोगकर्ता के रूप में कोड निष्पादन प्राप्त करने के लिए किया जा सकता है — एक निम्न-विशेषाधिकार होस्टिंग खाते को साझा सर्वर के पूर्ण रूट समझौते में बदलना।

यह पैटर्न (SQLi → INTO OUTFILE-शैली मनमाना फ़ाइल लेखन → विशेषाधिकार प्राप्त कोड निष्पादन) एक क्लासिक "SQLi-से-RCE" वृद्धि श्रृंखला है और साझा होस्टिंग वातावरणों पर विशेष रूप से गंभीर है, जहां सैकड़ों या हजारों असंबंधित ग्राहक खाते एक ही भौतिक/आभासी होस्ट पर चलते हैं — जिसका अर्थ है कि बॉक्स पर कहीं भी एक भी निम्न-विशेषाधिकार, मेल-सक्षम ग्राहक खाता उस सर्वर पर हर किरायेदार से समझौता करने के लिए पर्याप्त है।

यह क्यों मायने रखता है

• cPanel और WHM वेब होस्टिंग उद्योग के एक बहुत बड़े हिस्से को शक्ति प्रदान करता है — शोधकर्ताओं द्वारा आमतौर पर उद्धृत अनुमान उपयोग को लाखों सर्वर / करोड़ों डोमेन में रखते हैं।
• बग के लिए केवल एक निम्न-विशेषाधिकार, मेल-सक्षम cPanel खाता की आवश्यकता होती है — वह प्रकार जो साझा/रीसेलर होस्टिंग पर सामान्य ग्राहकों को बेचा जाता है — WHM या रूट खाता नहीं। यह मल्टी-टेनेंट होस्ट पर एक्सप्लॉइटेशन के लिए बार को नाटकीय रूप से कम करता है (दुर्भावनापूर्ण "ग्राहक," समझौता किया गया कम-मूल्य ग्राहक खाता, आदि)।
• अंतिम स्थिति बॉक्स पर रूट है, जिसका अर्थ है कि हर अन्य किरायेदार, हर डेटाबेस, हर मेलबॉक्स, और होस्टिंग प्रदाता का नियंत्रण-तल विश्वास सीमा जोखिम में है।
• इस प्रकार के साझा होस्टिंग समझौतों का ऐतिहासिक रूप से बड़े पैमाने पर वेब-शेल तैनाती, रैंसमवेयर स्टेजिंग, क्रेडेंशियल चोरी, और होस्टिंग-प्रदाता बुनियादी ढांचे में आगे पिवोटिंग के लिए उपयोग किया गया है।

2. प्रभावित संस्करण और पैच स्थिति

cPanel तकनीकी सुरक्षा रिलीज़ (TSR) के माध्यम से फिक्स भेजता है। CVE-2026-67401 के लिए सटीक बिल्ड नंबरों की पुष्टि आधिकारिक cPanel सुरक्षा सलाह के विरुद्ध की जानी चाहिए, इससे पहले कि आप यहां किसी भी संख्या पर भरोसा करें — विक्रेता-प्रकाशित बिल्ड नंबर ही एकमात्र आधिकारिक स्रोत हैं।

कार्रवाई: अपने स्थापित बिल्ड की जाँच करें:

...और इसे cPanel के आधिकारिक सुरक्षा सलाह पृष्ठ पर सूचीबद्ध फिक्स्ड बिल्ड के साथ तुलना करें (नीचे लिंक किया गया)। इस रिपो की स्कैनर (scripts/cve-2026-67401-ioc-scan.sh) इस जाँच को स्वचालित करता है — cPanel द्वारा प्रकाशित करने पर बस पैच किए गए बिल्ड नंबर भरें।

3. त्वरित प्रारंभ — IOC स्कैनर चलाएं

स्कैनर केवल-पठनीय है — यह कॉन्फ़िगरेशन को संशोधित नहीं करता, एक्सप्लॉइटेशन का प्रयास नहीं करता, और इंटरनेट एक्सेस की आवश्यकता नहीं है। यह एक टाइमस्टैम्प्ड रिपोर्ट /root/cve-2026-67401-ioc-report-<timestamp>.txt पर लिखता है (और JSON यदि python3 उपलब्ध है)।

प्रत्येक जाँच क्या करती है और परिणामों की व्याख्या कैसे करें, इसके लिए docs/DETECTION.md देखें, और पैचिंग और हार्डनिंग चरणों के लिए docs/REMEDIATION.md देखें।

अंतरिम शमन (यदि पैचिंग को इंतजार करना पड़े)

यह अंतर्निहित दोष को ठीक नहीं करता — यह आधिकारिक पैच लागू होने तक ग्राहक-सामना करने वाली सुविधा सूचियों से EmailTrack सुविधा को हटाकर एक्सपोज़र को कम करता है। विवरण और रोलबैक चरणों के लिए docs/REMEDIATION.md देखें।

4. स्कैनर क्या जाँचता है

1. संस्करण/पैच-स्तर फिंगरप्रिंटिंग — स्थापित cPanel और WHM बिल्ड बनाम ज्ञात-असुरक्षित/पैच किए गए रेंज (कॉन्फ़िगर करने योग्य)।
2. cPanel RPM/पैकेज अखंडता — cPanel बाइनरी और Perl/CGI मॉड्यूल में अप्रत्याशित संशोधनों को फ़्लैग करने के लिए rpm -Va-शैली सत्यापन।
3. संदिग्ध नव-निर्मित रूट-स्वामित्व वाली फ़ाइलें — हाल ही में root के स्वामित्व वाली बनाई गई फ़ाइलों के लिए सामान्य वेब/मेल-लेखन योग्य पथों को स्कैन करता है (इस बग का प्रकट प्रभाव अनधिकृत मनमाना फ़ाइल निर्माण है)।
4. MySQL/MariaDB लॉग ट्राइएज — यदि सामान्य/धीमी क्वेरी लॉग सक्षम है, तो EmailTrack-संबंधित तालिकाओं/क्वेरी के निकट क्लासिक SQLi और फ़ाइल-लेखन मार्कर (INTO OUTFILE, INTO DUMPFILE, UNION SELECT, LOAD_FILE, स्टैक्ड क्वेरी) के लिए grep करता है।
5. cPanel/Exim/Apache लॉग ट्राइएज — ईमेल-ट्रैकिंग-संबंधित एंडपॉइंट्स के लिए असामान्य अनुरोध पैटर्न और अप्रत्याशित 5xx/500 स्पाइक्स को फ़्लैग करता है जो इंजेक्शन प्रयासों से संबंधित हो सकते हैं।
6. अप्रत्याशित विशेषाधिकार प्राप्त प्रक्रियाएँ / क्रॉन / SUID परिवर्तन — एक सामान्य "क्या हाल ही में कुछ रूट तक बढ़ गया" स्वीप, जो किसी भी SQLi→RCE-वर्ग बग के लिए उपयोगी है, न केवल इसके लिए।
7. नए/अप्रत्याशित WHM और cPanel खाते, और अप्रत्याशित मेल विशेषाधिकारों वाले खाते।

ये बग के सार्वजनिक रूप से प्रकट प्रभाव (EmailTrack में SQL इंजेक्शन के माध्यम से मनमाना फ़ाइल निर्माण, रूट तक बढ़ना) के आसपास निर्मित सामान्य-उद्देश्य समझौता-आकलन ह्यूरिस्टिक्स हैं। ये डिटेक्शन या गैर-डिटेक्शन की गारंटी नहीं हैं — एक स्वच्छ स्कैन को "कोई स्पष्ट संकेतक नहीं मिला" के रूप में मानें, न कि इस बात के प्रमाण के रूप में कि होस्ट अप्रभावित है।

5. रेमेडिएशन प्राथमिकता क्रम

1. तुरंत पैच करें। आधिकारिक सलाह में संदर्भित फिक्स्ड बिल्ड में cPanel और WHM अपडेट करें (WHM ≫ सॉफ्टवेयर ≫ अपडेट प्राथमिकताएँ या CLI से /scripts/upcp)।
2. यदि आप तुरंत पैच नहीं कर सकते: प्रतिबंधित करें कि किन खातों में मेल-संबंधित विशेषाधिकार हैं, और अविश्वसनीय नेटवर्क से WHM/cPanel प्रबंधन पोर्ट (2082/2083/2086/2087) को फ़ायरवॉल करने पर विचार करें।
3. प्रभावित होस्ट पर सभी मेल-सक्षम खातों का ऑडिट करें — यह बग मेल विशेषाधिकारों वाले किसी भी खाते द्वारा शोषण योग्य है, इसलिए पैच होने तक हर होस्टिंग ग्राहक को एक संभावित (यहां तक कि अनजाने/समझौता किए गए) हमलावर वेक्टर के रूप में मानें।
4. इस रिपो में IOC स्कैनर चलाएं हर होस्ट पर जो असुरक्षित बिल्ड चला रहा था, पैचिंग के बाद भी, पैच-पूर्व समझौते से इनकार करने के लिए।
5. अंतरिम शमन लागू करें (scripts/cve-2026-67401-mitigation.sh) किसी भी होस्ट पर जिसे उसी दिन पैच नहीं किया जा सकता — यह WHM फीचर मैनेजर के माध्यम से EmailTrack सुविधा को प्रतिबंधित करता है ताकि मेल-विशेषाधिकार प्राप्त खाते अब असुरक्षित कोड पथ तक नहीं पहुंच सकें।
6. IOC मिलने पर क्रेडेंशियल घुमाएं और री-इमेज करें — SQLi-से-रूट श्रृंखलाओं के बाद आमतौर पर दृढ़ता (वेब शेल, क्रॉन बैकडोर, SSH कुंजियाँ, नए WHM खाते) आती है। अकेले पैच मौजूदा बैकडोर को नहीं हटाता।

पूर्ण विवरण: docs/REMEDIATION.md

6. रिपॉजिटरी संरचना

7. संबंधित cPanel और WHM भेद्यताएँ (2026)

CVE-2026-67401 2026 में प्रकट कई cPanel और WHM सुरक्षा मुद्दों में से एक है। यदि आप cPanel फ्लीट को हार्डन कर रहे हैं, तो इन सभी के खिलाफ पैच करें, न केवल इस एक के:

इनमें से लगभग सभी में एक आवर्ती पैटर्न: एक निम्न-विशेषाधिकार, प्रमाणित cPanel सुविधा विशेषाधिकार सीमा पर अपर्याप्त इनपुट स्वच्छता के माध्यम से रूट-स्तरीय समझौते में बदल जाती है। यदि आपका फ्लीट उपरोक्त में से किसी से प्रभावित हुआ है, तो व्यापक समीक्षा के भाग के रूप में इस रिपो में IOC स्कैनर चलाएं — जो हमलावर एक बग के माध्यम से अंदर आए वे आमतौर पर ऐसी दृढ़ता छोड़ते हैं जो उस विशिष्ट CVE से अधिक समय तक जीवित रहती है जिसने उन्हें अंदर आने दिया।

8. अक्सर पूछे जाने वाले प्रश्न

क्या मेरा सर्वर CVE-2026-67401 से प्रभावित है? यदि आप cPanel और WHM चलाते हैं और अभी तक इस CVE के लिए विक्रेता का फिक्स लागू नहीं किया है, तो अपने सर्वर को असुरक्षित मानें। क्योंकि शोषण के लिए केवल एक मेल-सक्षम ग्राहक खाता की आवश्यकता होती है (प्रशासक खाता नहीं), सामान्य होस्टिंग ग्राहकों वाला हर साझा/रीसेलर होस्टिंग बॉक्स दायरे में है — यह अविश्वसनीय "पावर उपयोगकर्ताओं" वाले सर्वरों तक सीमित नहीं है।

क्या CVE-2026-67401 के लिए कोई सार्वजनिक एक्सप्लॉइट या Metasploit मॉड्यूल है? इस रिपॉजिटरी के अंतिम अपडेट के अनुसार नहीं। यह रिपॉजिटरी एक प्रदान नहीं करता और नहीं करेगा।

क्या ईमेल ट्रैकिंग को अक्षम करने से समस्या पूरी तरह ठीक हो जाती है? नहीं। EmailTrack सुविधा को प्रतिबंधित करना (scripts/cve-2026-67401-mitigation.sh देखें) एक अंतरिम उपाय है जो एक्सपोज़र को कम करता है, पैच नहीं। अंतर्निहित SQL इंजेक्शन cPanel के अपने कोड में रहता है और केवल जारी होने पर विक्रेता के अपडेट को स्थापित करके ठीक किया जा सकता है।

मेरा स्कैन स्वच्छ आया — क्या मैं सुरक्षित हूं? एक स्वच्छ IOC स्कैन का अर्थ है कि इस रिपो में ह्यूरिस्टिक्स को कोई संकेत नहीं मिला — यह गैर-समझौते का प्रमाण नहीं है, विशेष रूप से एक लक्षित या सावधान हमलावर के खिलाफ। पैच स्थिति (एक सटीक संस्करण तुलना) यहां किसी भी IOC ह्यूरिस्टिक से कहीं अ