Una nueva vulnerabilidad de cPanel permite a una cuenta de alojamiento con privilegios de correo ejecutar código como root.

cPanel ha corregido una vulnerabilidad que, según afirma, permite a una única cuenta de alojamiento tomar el control de todo el servidor. Un titular de cuenta autenticado con privilegios relacionados con el correo electrónico puede crear archivos de su elección en el servidor a través de EmailTrack y, desde allí, ejecutar código con privilegios de usuario root.

cPanel publicó el aviso el 8 de septiembre e indica que todas las versiones compatibles de cPanel y WHM se ven afectadas.

La vulnerabilidad está registrada como CVE-2026-67401. El aviso de cPanel la califica como un problema de inyección SQL en EmailTrack, pero no especifica qué función o privilegio de cPanel requiere la cuenta. La documentación para desarrolladores de cPanel menciona un módulo EmailTrack que registra estadísticas de correo electrónico, aunque el aviso no aclara si ese es el código afectado.

cPanel es un software de panel de control para alojamiento web. El cliente gestiona una cuenta de alojamiento a través de cPanel, mientras que el proveedor administra la máquina completa mediante WHM con privilegios de usuario root.