Peringatan Keamanan

Publikasi KUTIM-CSIRT

Peringatan Keamanan

Peringatan Keamanan: Rekapitulasi Kerentanan pada cPanel & WHM dan WP Toolkit, Termasuk RCE Root (September 2026)

Adam  ·  30 Sep 2026  ·  KUTIM-SA-2026-085  ·  TLP:CLEAR

Peringatan Keamanan: Rekapitulasi Kerentanan pada cPanel & WHM dan WP Toolkit, Termasuk RCE Root (September 2026)
Sumber: Artikel ini diterbitkan ulang oleh KUTIM-CSIRT berdasarkan Security Advisory (Imbauan Keamanan) “Rekapitulasi Kerentanan pada cPanel” yang dipublikasikan BSSN/Id-SIRTII pada 29 September 2026. Nomor CVE, skor, dan versi terdampak bersumber dari edaran tersebut beserta lampiran resminya, lalu dilengkapi dan diverifikasi ulang ke NVD serta advisory keamanan cPanel. Dokumen asli: Security Advisory : Rekapitulasi Kerentanan pada cPanel – BSSN/Id-SIRTII.

KUTIM-CSIRT mengimbau seluruh Perangkat Daerah di lingkungan Pemerintah Kabupaten Kutai Timur yang mengelola server cPanel & WHM atau memakai WP Toolkit untuk segera memperbarui ke build perbaikan. Empat kerentanan perlu ditindaklanjuti: CVE-2026-67401 (CVSS 9,9) dan CVE-2026-87899 (CVSS 9,4) yang sama-sama berujung pada remote code execution dengan hak akses root, CVE-2026-87900 (CVSS 9,4) pada WP Toolkit, dan CVE-2026-68490 (CVSS 8,2) yang membocorkan data kalender dan kontak antarakun.

cPanel & WHM adalah panel pengelola hosting yang umum dipakai untuk mengelola domain, email, basis data, dan situs. Server yang dipakai bersama oleh banyak akun, misalnya hosting situs Perangkat Daerah, paling besar risikonya karena satu akun cPanel yang disalahgunakan dapat berujung pada penguasaan seluruh server.

Ikhtisar

Edaran BSSN merekap tiga kerentanan yang diumumkan cPanel pada 22 September 2026 (CVE-2026-87899, CVE-2026-87900, dan CVE-2026-68490). KUTIM-CSIRT melengkapinya dengan CVE-2026-67401, kerentanan SQL injection pada fitur EmailTrack yang diumumkan cPanel pada 8 September 2026 dan bernilai paling tinggi di antara keempatnya. Keempatnya mensyaratkan akun yang sudah masuk (authenticated) atau pengguna lokal di server, bukan penyerang anonim dari internet; namun akun cPanel pelanggan hosting, akun email, atau kredensial yang bocor sudah cukup untuk memenuhi syarat itu.

Catatan pelengkap dan penegasan terhadap edaran: (1) Edaran BSSN memuat tiga CVE dan tidak memuat CVE-2026-67401 (CVSS 9,9), yang diumumkan cPanel dalam advisory tersendiri pada 8 September 2026; KUTIM-CSIRT memasukkannya di sini agar rekapitulasi lengkap. (2) Edaran menyebut bahwa “keberhasilan eksploitasi” memungkinkan eksekusi kode dengan hak akses root; menurut advisory cPanel, hal itu berlaku untuk CVE-2026-87899 dan CVE-2026-67401, sedangkan CVE-2026-68490 hanya membuka data kalender dan kontak untuk dibaca dan tidak memberi akses root maupun kemampuan mengubah data. (3) Untuk CVE-2026-87900, edaran dan advisory cPanel menyebut dampak berupa perubahan basis data milik akun lain, sedangkan deskripsi NVD menyebut kemampuan membaca berkas sembarang dan mengeksekusi kode lintas akun pelanggan. Untuk perencanaan risiko, perlakukan dampaknya sebagai yang lebih berat sampai server diperbarui.

Dampak

  • CVE-2026-67401 dan CVE-2026-87899: pemegang akun cPanel (CVE-2026-67401: akun yang memiliki hak terkait email) dapat mengeksekusi kode sebagai root, yaitu penguasaan penuh atas server dan seluruh akun hosting di dalamnya.
  • CVE-2026-87900: pengguna cPanel terautentikasi dapat memengaruhi akun hosting lain di server yang sama melalui WP Toolkit, sedikitnya dengan mengubah basis data akun lain.
  • CVE-2026-68490: pengguna lokal di server dapat membaca kalender dan kontak akun lain.
  • Bagi instansi yang menaruh banyak situs pada satu server cPanel, kompromi satu situs (misalnya lewat plugin WordPress yang rentan) dapat menjadi batu loncatan untuk menguasai semua situs lain di server yang sama.

Sistem yang Terdampak

ProdukVersi TerdampakVersi Perbaikan
cPanel & WHM cabang 11.138 (CVE-2026-67401, CVE-2026-87899, CVE-2026-68490)Semua versi 11.138 sebelum 11.138.0.811.138.0.8 atau lebih baru
WP Squared (CVE-2026-67401, CVE-2026-87899, CVE-2026-68490)Semua versi sebelum 11.138.1.1111.138.1.11 atau lebih baru
cPanel & WHM cabang 11.136 (CVE-2026-67401, CVE-2026-87899, CVE-2026-68490)Semua versi 11.136 sebelum 11.136.0.4111.136.0.41 atau lebih baru
cPanel & WHM cabang 11.134 (CVE-2026-67401, CVE-2026-87899, CVE-2026-68490)Semua versi 11.134 sebelum 11.134.0.5711.134.0.57 atau lebih baru
cPanel & WHM cabang 11.110 (hanya CVE-2026-67401)Semua versi 11.110 sebelum 11.110.0.14311.110.0.143 atau lebih baru
WP Toolkit for cPanel (CVE-2026-87900)6.11.2-10794 dan semua versi sebelumnya6.11.3 atau lebih baru

CVE-2026-87899 dan CVE-2026-68490 mengenai cPanel & WHM versi 120 dan yang lebih baru; CVE-2026-67401 menurut cPanel mengenai “semua versi yang didukung”. Advisory cPanel hanya mencantumkan build perbaikan pada cabang di atas. Server pada cabang lain perlu mengikuti petunjuk pembaruan dari cPanel (lihat Referensi) hingga mencapai salah satu build perbaikan tersebut. Untuk CVE-2026-67401, build perbaikan 11.134.0.55, 11.136.0.39, dan 11.138.0.4 sudah mencukupi, tetapi build pada tabel di atas mencakup keempat CVE sekaligus.

Rincian CVE

CVESkor CVSSJenisRingkasan
CVE-2026-674019,9 (CVSS 3.0) CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:HSQL injection (CWE-89)Akun cPanel dengan hak terkait email dapat membuat berkas sembarang di server lewat fitur EmailTrack dan mengeksekusi kode sebagai root. Diumumkan cPanel 8 September 2026.
CVE-2026-878999,4 (CVSS 4.0) CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:HExecution with unnecessary privileges (CWE-250)Pemegang akun cPanel dapat menaikkan hak akses hingga root lewat fungsi CalDAV/CardDAV. Diumumkan cPanel 22 September 2026.
CVE-2026-879009,4 (CVSS 4.0) CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:HArgument injection (CWE-88)Pada penanganan perintah pembuatan basis data di WP Toolkit, pengguna cPanel terautentikasi dapat memengaruhi akun lain. Diumumkan 22 September 2026.
CVE-2026-684908,2 (CVSS 4.0) CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:NIncorrect permission assignment (CWE-732)Pengguna lokal di server dapat membaca kalender dan kontak akun lain; tidak memberi akses root atau kemampuan mengubah data. Diumumkan 22 September 2026.

Detail Teknis

Keempat kerentanan memerlukan hak akses awal rendah, yaitu akun cPanel yang sah atau akses lokal. Karena itu, risiko sangat bergantung pada siapa saja yang memiliki akun pada server: pelanggan hosting, staf pengelola situs, atau akun email. Akun yang kata sandinya lemah, bocor, atau dipakai bersama menjadi titik masuk yang realistis.

CVE-2026-67401 dan CVE-2026-87899 termasuk kategori privilege escalation ke root: komponen yang berjalan dengan hak akses tinggi (EmailTrack dan CalDAV/CardDAV) memproses masukan dari akun biasa tanpa pembatasan yang memadai. CVE-2026-87900 berada pada WP Toolkit, yaitu modul pengelola WordPress yang terintegrasi dengan cPanel, pada alur pembuatan basis data. CVE-2026-68490 adalah kekeliruan izin berkas pada penyimpanan kalender dan buku alamat, yang menurut cPanel diperbaiki bersamaan dengan pemulihan izin pada akun yang sudah ada.

Rincian teknis yang lebih dalam tidak dimuat di sini karena dapat langsung dimanfaatkan terhadap server yang belum diperbarui.

Rekomendasi

  1. Periksa versi cPanel & WHM pada setiap server (antarmuka WHM, atau perintah /usr/local/cpanel/cpanel -V) dan versi WP Toolkit pada menu WP Toolkit di WHM.
  2. Perbarui cPanel & WHM ke 11.134.0.57, 11.136.0.41, 11.138.0.8 (atau 11.110.0.143 untuk CVE-2026-67401 pada cabang 11.110), atau yang lebih baru; untuk WP Squared ke 11.138.1.11 atau lebih baru. Pembaruan dapat dijalankan dari WHM atau dengan /scripts/upcp.
  3. Perbarui WP Toolkit for cPanel ke 6.11.3 atau lebih baru mengikuti petunjuk pada advisory cPanel.
  4. Setelah pembaruan, verifikasi izin kalender dan kontak serta integritas akun hosting, dan pastikan tidak ada perubahan tidak sah.
  5. Batasi akses ke antarmuka cPanel dan WHM hanya untuk pengguna yang berwenang dan, bila memungkinkan, hanya dari alamat tepercaya. Aktifkan autentikasi multifaktor (MFA), kata sandi kuat, dan prinsip hak akses minimum untuk seluruh akun.
  6. Tinjau akun pada server: hapus atau nonaktifkan akun yang tidak lagi dipakai, dan ganti kata sandi akun yang mencurigakan, terutama akun yang memiliki fitur email.
  7. Pantau log dan lakukan audit terhadap aktivitas CalDAV/CardDAV, perubahan basis data, pembuatan atau perubahan berkas yang tidak wajar, serta aktivitas akun yang tidak biasa. Cari juga akun, kunci SSH, atau tugas terjadwal yang tidak dikenal.
  8. Bila ada indikasi kompromi, isolasi server, amankan log dan salinan sistem sebagai barang bukti, lalu ganti seluruh kredensial yang berpotensi terdampak, termasuk akun root, akun cPanel, dan kredensial basis data.
  9. Pastikan pencadangan berkala dan simpan cadangan di lokasi terpisah dari server.
  10. Laporkan ke KUTIM-CSIRT melalui kanal pelaporan resmi atau csirt@kutaitimurkab.go.id apabila ditemukan indikasi penyusupan.

Catatan Status Eksploitasi

Berdasarkan pemeriksaan terhadap katalog Known Exploited Vulnerabilities (KEV) CISA, CVE-2026-67401, CVE-2026-87899, CVE-2026-87900, dan CVE-2026-68490 belum tercatat di KEV CISA per 30 September 2026. Status tersebut tidak boleh dibaca sebagai alasan menunda: kerentanan yang menaikkan hak akses ke root pada panel hosting yang dipakai bersama adalah sasaran bernilai tinggi bagi penyerang, dan perbaikannya sudah dirilis sehingga dapat dianalisis.

Referensi

Kembali ke Artikel