Błędy w cPanel dawały dostęp root do serwera

Co się stało

We wrześniu 2026 firma WebPros, która rozwija cPanel i WHM, czyli panel do zarządzania kontami hostingowymi używany przez ogromną część hostingów współdzielonych na świecie, także w Polsce, załatała kilka krytycznych błędów. Najpoważniejsze z nich, oznaczone jako CVE-2026-67401 i CVE-2026-87899, pozwalały zwykłemu, uwierzytelnionemu kontu hostingowemu, na przykład takiemu z dostępem do poczty albo kalendarza CalDAV/CardDAV, uzyskać uprawnienia root, czyli pełną kontrolę nad całym serwerem. Informację potwierdziło między innymi kanadyjskie centrum cyberbezpieczeństwa w swoim biuletynie bezpieczeństwa, a łatki trafiły do wszystkich wspieranych linii cPanel i WHM. Według danych dostępnych w chwili publikacji nie było publicznego kodu exploita ani wpisu w katalogu aktywnie wykorzystywanych podatności CISA.

Dlaczego to ma znaczenie, nawet jeśli błędy są już załatane

Na pierwszy rzut oka to nie jest temat dla Ciebie, bo to nie Twoja wtyczka WordPress, a panel techniczny Twojego dostawcy hostingu. W praktyce jest odwrotnie. Hosting współdzielony polega na tym, że wiele kont, czyli wiele różnych stron, często też WordPressowych, żyje na jednym serwerze, a izolację między nimi zapewnia właśnie taki panel jak cPanel. Błąd, który pozwala jednemu kontu wyjść z własnej piaskownicy i zyskać root, teoretycznie daje dostęp do wszystkich innych kont na tej samej maszynie, niezależnie od tego, jak dobrze zabezpieczony jest sam WordPress. Aktualizacja wtyczek i motywów nic tu nie pomoże, jeśli dziurawy jest sam panel pod spodem.

Dobra wiadomość jest taka, że łatki były dostępne szybko, a odpowiedzialni dostawcy instalują je rutynowo w ramach aktualizacji panelu, zwykle bez przerwy w działaniu usługi. To jednak zależy wyłącznie od tego, jak sprawnie dany hosting aktualizuje swoją infrastrukturę, nie od Ciebie jako właściciela strony.

Co możesz sprawdzić

Nie masz bezpośredniego wpływu na wersję cPanel u swojego dostawcy, ale możesz zapytać dział wsparcia, czy panel jest aktualizowany automatycznie i jak szybko reaguje na łatki bezpieczeństwa tego typu. To jedno z pytań, które sam sobie zadaję, oceniając hostingi w ramach testów opisanych na /jak-testujemy, bo szybkość reakcji dostawcy na błędy infrastruktury mówi więcej o jego jakości niż marketingowe obietnice. Jeśli prowadzisz większy serwis i zależy Ci na pełnej izolacji od innych klientów, warto też rozważyć przejście z hostingu współdzielonego na VPS, gdzie masz własny, odizolowany system. Dodatkowa warstwa ochrony w postaci WAF przed aplikacją WordPress nie zastąpi załatanego panelu, ale ogranicza ryzyko ze strony typowych ataków na samą stronę.