CVE‑2026‑65643 – Toolkit de RCE via Estacionamento de Domínio do cPanel

USO EXCLUSIVAMENTE ÉTICO – TESTES DE SEGURANÇA AUTORIZADOS
Este repositório fornece ferramentas apenas para profissionais de segurança autorizados, blue teams e testadores de penetração.
O acesso não autorizado a sistemas de computador é ilegal sob o CFAA (EUA), Computer Misuse Act (Reino Unido), TCK 243/244 (Turquia) e leis similares em todo o mundo.

---

Visão Geral da Vulnerabilidade

CVE‑2026‑65643 é uma vulnerabilidade crítica de injeção de comando no cPanel & WHM versões 11.x que permite a um usuário autenticado do cPanel executar comandos arbitrários do sistema com privilégios de root através da funcionalidade de estacionamento de domínio.

Como funciona

1. Acesso autenticado necessário – o atacante deve ter uma conta válida do cPanel (usuário/senha) no servidor alvo.
2. Injeção no estacionamento de domínio – ao adicionar um domínio estacionado, o nome do domínio não é devidamente sanitizado, permitindo ao atacante injetar comandos de shell usando crases (`).
3. Execução de comando – o comando injetado é executado pelo sistema com os privilégios do usuário do cPanel, que pode ser escalado para root através de técnicas de escalação de privilégios.
4. Privilégios de root – como a operação de estacionamento de domínio é executada com permissões suficientes, comandos arbitrários podem ser executados com privilégios elevados.
5. Impacto – comprometimento total do servidor, roubo de dados, backdoors, ransomware e movimento lateral. Atualize imediatamente!

Versões Afetadas

• cPanel & WHM 11.110.0.140 e anteriores – vulnerável
• 11.134.0.52 e anteriores – vulnerável
• 11.136.0.36 e anteriores – vulnerável
• 11.138.0.1 e anteriores – vulnerável
• 11.138.1.6 e posteriores – corrigido

Correção

• Atualize para cPanel & WHM 11.138.1.6, 11.138.0.2, 11.136.0.37, 11.134.0.53 ou 11.110.0.141 ou mais recente.
• Se a atualização não for possível, desative as permissões de estacionamento de domínio para usuários do cPanel como solução temporária.

---

Ferramentas

Ferramenta	Propósito	Usuário Pretendido
exploit.py	Toolkit completo weaponizado com reverse shell, webshell, persistência, leitura/escrita de arquivos, alteração de senha de root, varredura em massa, suporte a Tor e recursos de OPSEC.	Red teams / pentesters autorizados
verifier.py	Verificador de vulnerabilidade não intrusivo que detecta a versão do cPanel, valida a injeção e avalia o risco sem executar qualquer payload malicioso. Gera relatórios detalhados.	Blue teams / auditores de segurança

---

Comparação de Recursos

Recurso	exploit.py	verifier.py
Detecção de vulnerabilidade	[+]	[+]
Detecção de versão (4 endpoints)	[+]	[+]
Injeção de comando	[+]	[-]
Reverse shell	[+]	[-]
Upload de WebShell	[+]	[-]
Persistência (criação de usuário cPanel)	[+]	[-]
Alteração de senha de root	[+]	[-]
Leitura/escrita de arquivos	[+]	[-]
4 métodos de injeção (JSON/Form/CGI/API2)	[+]	[+]
Suporte a Tor (anonimato)	[+]	[-]
Rotação de User‑Agent (OPSEC)	[+]	[-]
Jitter (OPSEC)	[+]	[-]
Varredura em massa (multi‑thread)	[+]	[-]
Shell interativo	[+]	[-]
Modo não intrusivo (seguro)	[-]	[+]
Registro de linha do tempo	[+]	[+]
Relatório HTML	[+]	[-]
Relatório JSON	[+]	[+]
Limpeza de logs (anti‑forense)	[+]	[+]
Suporte a proxy	[+]	[+]
User‑Agent personalizado	[+]	[+]
Controle de verificação SSL	[+]	[+]

---

Resumo de Casos de Uso

Cenário	Ferramenta Recomendada
Blue Team – verificar se sua instalação do cPanel é vulnerável	verifier.py
Auditoria de Segurança – avaliação de vulnerabilidade não intrusiva	verifier.py
Red Team – teste de penetração autorizado com exploração completa	exploit.py
Bug Bounty – teste de divulgação responsável	verifier.py
Varredura em Massa – verificar múltiplos alvos quanto à vulnerabilidade	exploit.py (apenas detecção)
Resposta a Incidentes – verificar se os sistemas foram comprometidos	verifier.py

---

Instalação

git clone https://github.com/tc4dy/CVE-2026-65643-PoC-Toolkit
cd CVE-2026-65643-PoC-Toolkit
pip install -r requirements.txt

requirements.txt

requests
urllib3

Parâmetros

Parâmetros do exploit.py

Parâmetro	Descrição
-t, --target	URL do cPanel alvo (ex.: https://cpanel.example.com:2083)
-l, --target-file	Arquivo contendo lista de alvos (um por linha) para varredura em massa
-u, --username	Nome de usuário do cPanel
-P, --password	Senha do cPanel
-p, --port	Substituir porta do cPanel (padrão da URL ou 2083)
--threads	Número de threads para multi‑alvo (padrão: 10)
-o, --output	Salvar relatório JSON em arquivo
--html-report	Salvar relatório HTML em arquivo
-v, --verbose	Saída detalhada
--proxy	Proxy HTTP/HTTPS (ex.: http://127.0.0.1:8080)
--tor	Rotear através do Tor (localhost:9050)
-ua, --user-agent	User‑Agent personalizado
--no-keep-alive	Não manter a sessão ativa
--delay	Atraso entre requisições (padrão: 2.0s)
--jitter	Jitter aleatório (0‑1 seg) entre requisições (padrão: 0.5)
--max-retries	Máximo de tentativas (padrão: 5)
--ssl-verify	Verificar certificados SSL
--timeout	Timeout da requisição (padrão: 15s)
--cmd	Executar um único comando no alvo
--reverse-shell	IP:PORT do reverse shell
--passwd	Alterar senha de root
--adduser	Criar usuário cPanel (USER DOMAIN PASSWORD)
--read	Ler um arquivo
--write	Escrever um arquivo (especificar caminho)
--write-content	Conteúdo a ser escrito
--cleanup	Limpar logs e histórico após exploração
-i, --interactive	Shell interativo após exploração
--domain-suffix	Sufixo para domínio estacionado (padrão: exploit.local)

Parâmetros do verifier.py

Parâmetro	Descrição
-t, --target	URL do cPanel alvo (ex.: https://cpanel.example.com:2083)
-u, --username	Nome de usuário do cPanel
-P, --password	Senha do cPanel
-o, --output	Salvar relatório JSON em arquivo
-v, --verbose	Saída detalhada
--proxy	Proxy HTTP/HTTPS (ex.: http://127.0.0.1:8080)
--tor	Rotear através do Tor (localhost:9050)
--ssl-verify	Verificar certificados SSL
--timeout	Timeout da requisição (padrão: 15s)
--cleanup	Limpar logs após o teste

---

Cenários