cPanel hat eine kritische Sicherheitslücke geschlossen, die es einem authentifizierten Hosting-Kunden erlauben konnte, SQL in einem Root-ähnlichen Datenbankkontext auszuführen. Für Admins bedeutet das: Wer cPanel & WHM noch nicht aktualisiert hat, sollte die betroffenen Versionen zeitnah prüfen und handeln. Im Fokus steht CVE-2026-58048 cPanel, bewertet mit einer CVSS-Einstufung von 9.4 (Score 4.0).
Laut Hersteller zielte die Lücke auf die Privileg-Trennung zwischen einem cPanel-Konto und der administrativen Identität der Datenbank ab. Sobald der SQL-Aufruf im falschen Kontext lief, konnten sich Rechte deutlich erweitern – abhängig von Betriebssystem und Datenbankkonfiguration sogar bis hin zu einer Kompromittierung auf Betriebssystemebene.
Was steckt hinter CVE-2026-58048 cPanel?
Die Schwachstelle ist als CVE-2026-58048 erfasst und betrifft alle unterstützten Versionen von cPanel & WHM sowie WP Squared. Um die Lücke auszunutzen, braucht ein Angreifer einen gültigen cPanel-Account und Zugriff auf die MySQL/MariaDB-Funktion innerhalb des Control Panels.
Der Hersteller beschreibt, dass der Kontoinhaber beliebige Datenbankbefehle mit vollständigen administrativen Rechten hätte ausführen können. Technisch umgeht die Lücke dabei die üblichen Grenzen, die cPanel im Normalbetrieb setzt: Datenbankprivilegien müssen laut Dokumentation nicht zwingend SUPER-Rechte umfassen und sollten globale Änderungen verhindern.
Wie wurde die Privileggrenze umgangen?
Der Fehler sitzt in einem Prozess, der mit der Umbenennung von Datenbanken zusammenhängt. Dabei wird (vereinfacht) eine Ersatzdatenbank erstellt, bestehende Inhalte werden verschoben, anschließend werden Berechtigungen sowie gespeicherte Logik neu erzeugt – danach wird die alte Datenbank mitsamt Grants entfernt.
In der CNA-Beschreibung wird konkret darauf hingewiesen, dass der SQL-Modus beim Umbenennen nicht korrekt beibehalten wird. Dadurch kann die Ausführung von SQL in den administrativen Root-Kontext rutschen. Genau diese Abweichung ist entscheidend: cPanel erwartet, dass die Datenbankbefehle innerhalb eines eingeschränkten Rahmens laufen – CVE-2026-58048 cPanel hebelt diesen Rahmen aus.
Wichtig für die Einordnung: In den öffentlichen Beschreibungen wird nicht genannt, welches konkrete Einfüge- oder Auslöserverhalten (z. B. ein bestimmter Input) verwendet wird. Ebenfalls fehlen Details zu betroffenen SQL-Modi oder einem exakten Payload-Beispiel.
Welche Systeme sind betroffen?
Betroffen sind laut Mitteilung alle unterstützten cPanel & WHM-Versionen sowie WP Squared. Außerdem ist für die Praxis relevant, wie ein Angreifer an die nötigen Bedingungen gelangt:
- Es ist ein authentifizierter cPanel-Account erforderlich.
- Der Zugriff auf die MySQL/MariaDB-Funktion ist Teil der Voraussetzung.
Ob ein Angreifer wirklich erfolgreich sein kann, hängt zusätzlich von der Umgebung ab. Dazu zählen Betriebssystem-Details und die Art, wie die Datenbank installiert und konfiguriert ist. cPanel weist explizit darauf hin, dass daraus unter Umständen eine Kompromittierung auf Betriebssystemebene entstehen kann.
Die Frage nach Unterkonten ist ebenfalls offen: In der Beschreibung der Authentifizierung wird nicht eindeutig geklärt, ob sogenannte Team User—also rollengebundene Sub-Accounts, die ein Inhaber erzeugen kann—unter den beschriebenen Authentifizierungsrahmen fallen. Admins sollten das dennoch nicht als Entwarnung verstehen, sondern als Anlass, Berechtigungen sorgfältig zu prüfen.
Bewertung und Einordnung der Kritikalität
Der “Critical”-Status ist eine Schweregrad-Einstufung. Er sagt jedoch nicht automatisch etwas darüber, wie groß die reale Angriffsfläche ist, weil sie stark davon abhängt, wer Konten auf einem System betreibt. Ein Server, auf dem alle Accounts zu einem einzigen Unternehmen gehören, ist potenziell anders zu bewerten als ein Server, auf dem viele voneinander unabhängige Kunden sitzen.
Zudem weist die Meldung darauf hin, dass die Grenzen nicht immer sauber sind: Konten könnten kompromittiert, gephisht oder weiterverkauft werden. In Kombination bedeutet das: Das Risiko steigt dort, wo Authentifizierungspunkte leicht erreichbar oder bereits betroffen sind.
Die technische Wirkung wurde durch CISA mit “total” beschrieben. cPanel beschreibt die Schwachstelle als Privilegeskalation; auch wenn die öffentliche Benennung nicht “SQL Injection” verwendet, klassifizieren andere Datensätze den Defekt in eine Richtung, die dem Thema SQL Injection nahekommt. Da verschiedene Quellen den gleichen Fehler aus unterschiedlichen Perspektiven beschreiben, sollten Admins den Kernfakt ernst nehmen: SQL läuft im falschen privilegierten Kontext.
Welche cPanel-Versionen sind gepatcht?
cPanel listet konkrete Builds, in denen CVE-2026-58048 cPanel behoben wurde. Dazu gehören:
- 11.110.0.137
- 11.118.0.71
- 11.126.0.78
- 11.134.0.48
- 11.136.0.32
- 138.1.6 für WP Squared
Wenn du Updates nicht sofort einspielen kannst, sind Übergangsmaßnahmen möglich. Allerdings sollte das nur als Notlösung verstanden werden.
Übergangslösung: MySQL-Funktion vorübergehend entziehen
Für Server, die nicht unmittelbar aktualisieren können, empfiehlt cPanel eine kurzfristige Maßnahme: die MySQL-Funktion in cPanel vorübergehend entziehen. Dadurch bleiben bestehende Datenbanken zwar weiterhin lauffähig, jedoch können Nutzer keine neuen Datenbanken hinzufügen oder bestehende entfernen.
Die Umsetzung erfolgt auf Admin-Ebene. cPanel verweist zudem auf einen konkreten Befehl über WHM sowie eine Aktualisierungsroutine über den Updater. Als Orientierung nennt der Hersteller:
- /usr/local/cpanel/scripts/upcp mit –force (im Kontext des beschriebenen Vorgehens)
Die genaue Detailanwendung sollte sich an deiner Systemumgebung und an der jeweiligen cPanel-Dokumentation orientieren. Ziel ist aber klar: Zugriffe über die Datenbankfunktion unterbrechen, bis der Patch verfügbar ist.
Weitere Schwachstellen in derselben Release-Welle
Neben CVE-2026-58048 cPanel adressiert cPanel in derselben Veröffentlichung offenbar noch weitere Probleme. Für Betreiber sind solche “Bundle”-Releases oft wichtig, weil sie mehrere Angriffsflächen gleichzeitig schließen.
HTTP Request Smuggling (cpsrvd)
Eine weitere Schwachstelle ist als CVE-2026-58047 erfasst. Laut Meldung handelt es sich dabei um ein HTTP Request Smuggling in cpsrvd, dem Dienst, der die cPanel- und WHM-Oberflächen bereitstellt. Unter bestimmten Bedingungen könnte ein Angreifer Antworten so beeinflussen, dass Informationen zwischen Nutzern auf demselben Server “leaken”.
Als Workaround nennt cPanel, die Wiederverwendung von Backend-Verbindungen zu deaktivieren. Dazu wird eine Einstellung in /var/cpanel/cpanel.config empfohlen und anschließend der cpsrvd-Dienst neu zu starten. Beachte: Der Hersteller warnt, dass das auf stark frequentierten Systemen höhere Latenz und mehr CPU-Auslastung erzeugt.
Exim: Probleme in Weiterleitungs- und Queue-Funktionen
Außerdem betrifft eine Exim-bezogene Lücke die Verarbeitung in Redirect-Routern. Dabei kann ein lokaler Nutzer über die .forward-Datei unter bestimmten Pipe-Transport-Konfigurationen eine unsichere String-Expansion auslösen. Unter Default-Einstellungen kann die Ausführung dabei als cPanel-Nutzer passieren; je nach Konstellation sieht der Hersteller Potenzial für Privilegeskalation von Team User Sub-Accounts.
Exim 4.99.5 behebt die benannte Expansion. Zusätzlich adressiert Exim 4.99.5 noch einen High-Severity Local Directory Traversal über Queue-Namen, der Dateien außerhalb des Spool-Bereichs erreichen kann und ebenfalls zur Eskalation genutzt werden kann.
Worauf Admins bei Patchlisten achten sollten
In der Praxis kann es vorkommen, dass unterschiedliche Advisory-Teile leicht abweichende Listen an betroffenen Builds enthalten. In der Meldung wird explizit darauf hingewiesen, dass die Datenbank-Orientierungsliste eine bestimmte Build-Variante nennt, während andere Advisories aus derselben Release-Welle eine andere Branching-Einordnung nutzen.
Daher ist die Empfehlung: Wenn du auf einem “Abzweig” bleibst, prüfe die tatsächlich installierte Point-Version gezielt anhand der Datenbank-spezifischen Advisory. Verlasse dich nicht blind auf kürzere Listen, die nur für bestimmte Teilthemen gelten.
Fazit: Jetzt aktualisieren, Übergang kontrolliert absichern
CVE-2026-58048 cPanel ist eine ernstzunehmende Schwachstelle, weil sie Authentifizierte Nutzer in die Lage versetzen konnte, SQL mit administrativen Datenbankrechten auszuführen und damit Privileggrenzen zu überbrücken. Je nach Systemsetup kann das darüber hinaus sogar Auswirkungen bis auf Betriebssystemebene haben.
Der beste Weg ist: cPanel & WHM aktualisieren und die in der Advisory genannten Builds verifizieren. Wenn das kurzfristig nicht möglich ist, sollte die MySQL-Funktion zeitweise entzogen werden, um die Angriffsoberfläche zu reduzieren—wobei laufende Datenbanken weiter betrieben werden können. Ergänzend lohnt ein Blick auf die weiteren in der Veröffentlichung genannten Themen (cpsrvd und Exim), damit dein Server ganzheitlich abgesichert bleibt.
Quelle: https://thehackernews.com/2026/08/new-cpanel-critical-flaw-could-let.html
