웹 호스팅 관리 소프트웨어인 cPanel에서 세 가지 보안 취약점이 발견되었습니다. 이 중 가장 위험한 CVE-2026-87899는 일반 호스팅 계정 하나만 있으면 서버 전체를 root(최고 관리자) 권한으로 장악할 수 있어, 공유 호스팅 환경에서 한 고객이 다른 모든 고객의 데이터에 접근할 수 있습니다. 두 번째 취약점(CVE-2026-87900)은 WordPress 관리 플러그인인 WP Toolkit에 존재하며, 다른 계정의 데이터베이스를 무단으로 변경하는 것이 가능합니다. cPanel은 세 취약점 모두에 대한 패치를 배포했으며, 임시 대응 방법이 없기 때문에 즉시 업데이트하는 것이 유일한 해결책입니다.
cPanel의 CalDAV/CardDAV 서비스와 WP Toolkit 플러그인에서 3개의 취약점이 발견됨. CVE-2026-87899는 일반 cPanel 계정만으로 root 권한의 코드 실행(RCE) 및 서버 완전 장악이 가능한 치명적 결함.
공유 호스팅 환경에서 일반 고객 계정 하나로 서버 전체 탈취 가능. CVE-2026-87900으로 타 계정의 데이터베이스 무단 수정 가능. CVE-2026-68490으로 타 계정의 캘린더·연락처 열람 가능.
CalDAV/CardDAV 서비스의 권한 처리 결함(CVE-2026-87899, CVE-2026-68490) 및 WP Toolkit의 데이터베이스 생성 명령 처리 로직 오류(CVE-2026-87900).
cPanel이 세 취약점 모두에 대한 수정 버전 배포. cPanel & WHM은 11.134.0.57 이상, WP Toolkit은 6.11.3 이상으로 즉시 업데이트 필요. 임시 완화책은 없음.
공유 호스팅 서비스 제공 사업자는 즉시 패치 적용이 필수. 패치 전 공격 여부를 확인하는 방법이 공개되지 않아 침해 탐지에 별도 주의 필요. 동일 연구자가 최근 cPanel·Plesk 취약점을 연속으로 제보하고 있어 추가 취약점 공개 가능성에 대한 모니터링 권고.
본문
Swati Khandelwal · 2026년 9월 23일 · 취약점 / 웹 보안
cPanel의 CalDAV 및 CardDAV 서비스에서 발견된 결함으로 인해, cPanel 호스팅 계정이 있는 누구든지 root 권한으로 코드를 실행하고 "서버를 완전히 장악"할 수 있다고 해당 회사가 9월 22일 밝혔다.
WordPress 사이트를 설치·관리하는 데 사용되는 WP Toolkit 플러그인에서도 두 번째 버그가 발견되었으며, 이를 통해 계정 소유자가 다른 계정에 속한 데이터베이스를 변경할 수 있다.
cPanel은 두 취약점 모두에 대한 수정 버전을 배포했으며, 각 계정의 캘린더와 연락처를 저장하는 동일 서비스에서 발견된 세 번째 결함에 대한 패치도 함께 제공했다. 세 번째 결함은 서버의 로컬 사용자가 다른 계정의 캘린더 이벤트와 연락처를 읽을 수 있으나, 수정하거나 root 권한을 획득하는 것은 불가능하다.
cPanel은 root 권한 탈취 결함에 대한 요구 조건으로 계정 보유 외에 다른 조건을 명시하지 않았다. 호스팅 사업자가 일반에 계정을 판매하는 공유 서버에서는 어떤 고객이든 이를 악용할 수 있다는 의미다. 고객의 로그인 정보를 취득한 제3자 역시 마찬가지다.
세 가지 결함과 수정 버전 정보는 아래와 같다:
| 결함 | 위치 | cPanel 발표 기준 허용 행위 | 영향 받는 버전 | 수정 버전 |
|---|---|---|---|---|
| CVE-2026-87899 | CalDAV 및 CardDAV | 로그인한 계정 소유자가 root로 코드 실행 가능 | cPanel & WHM 버전 120 이상 | 11.134.0.57 이상 / 11.136.0.41 이상 / 11.138.0.8 이상 / WP Squared 11.138.1.11 이상 |
| CVE-2026-87900 | WP Toolkit | 로그인한 cPanel 사용자가 다른 계정의 데이터베이스 변경 가능 | WP Toolkit 6.11.2-10794 이하 | WP Toolkit 6.11.3 이상 |
| CVE-2026-68490 | CalDAV 및 CardDAV | 로컬 사용자가 다른 계정의 캘린더 이벤트 및 연락처 읽기 가능 | cPanel & WHM 버전 120 이상 | 11.134.0.57 이상 / 11.136.0.41 이상 / 11.138.0.8 이상 / WP Squared 11.138.1.11 이상 |
WP Toolkit 버그는 플러그인이 데이터베이스를 생성하는 명령을 처리하는 방식에 있다. cPanel은 로그인한 cPanel 사용자가 "다른 계정의 데이터베이스를 수정"할 수 있다고만 밝혔다.
어떤 변경이 가능한지, 다른 계정의 데이터를 읽을 수도 있는지, WP Toolkit 자체에 대한 접근 권한이 필요한지는 공개되지 않았다.
WP Toolkit은 동일 회사인 WebPros의 또 다른 호스팅 제어판인 Plesk에서도 사용 가능하다. cPanel은 Plesk 버전이 영향을 받는지에 대해서는 언급하지 않았다.
세 가지 권고문 중 어느 것도 악용 여부를 언급하지 않으며, 업데이트 전에 서버가 공격받았는지 확인하는 방법도 제시하지 않았다. 이 세 가지 취약점은 The Hacker News가 9월 23일 확인한 시점 기준으로 CISA의 KEV(실제 악용 확인 취약점) 목록에 등재되지 않았다.
cPanel은 세 가지 결함 모두를 rz1027이라는 닉네임을 사용하는 연구자 Ali Mustafa의 공로로 인정했다. 벤더 권고문과 CVE 기록에 따르면 그는 8월 27일 이후 공개된 최소 7개의 cPanel 및 Plesk 취약점을 제보한 것으로 나타나며, 그 중 3개는 abed1526이라는 연구자와 공동으로 제보했다.
여기에는 9월 8일 cPanel의 EmailTrack 기능에서 발견된 취약점도 포함되어 있으며, 해당 취약점은 메일 권한이 있는 계정으로 root 코드 실행이 가능하다고 cPanel이 당시 밝혔다.
Plesk도 9월 10일 두 가지 취약점을 추가로 수정했는데, 각각 Backup Manager의 파일 복원 방식과 백업 헤더 처리 방식에서 발견되었다. Plesk는 각각의 취약점이 서버 전체를 탈취하는 데 악용될 수 있다고 밝혔다.
업데이트 방법
cPanel은 cPanel & WHM과 WP Toolkit에 대해 각각 별도의 업데이트 지침을 제공한다. WP Toolkit은 wp-toolkit-cpanel이라는 독립 패키지로 설치되며, 별도로 업데이트해야 한다.
- cPanel & WHM (CVE-2026-87899 및 CVE-2026-68490): cPanel의 업데이트 절차를 따른다. WHM에서 Home / cPanel / Upgrade to Latest Version으로 이동하거나, root로
/usr/local/cpanel/scripts/upcp --force를 실행한다. 업데이트 시 기존 계정의 캘린더 및 연락처 권한도 함께 수정된다. - WP Toolkit (CVE-2026-87900): 아래 명령어로 버전 6.11.3 이상으로 업데이트한다:
bash <(curl https://wp-toolkit.plesk.com/cPanel/installer.sh || wget -O - https://wp-toolkit.plesk.com/cPanel/installer.sh) --version 6.11.3
캘린더 관련 취약점은 버전 120 이상에 영향을 미치지만, cPanel은 134, 136, 138 릴리스 라인 및 WP Squared에 대한 수정 빌드만 제공하고 있다.
cPanel은 아직 업데이트할 수 없는 서버에 대한 임시 완화책을 제공하지 않는다. WP Toolkit의 경우 수동 명령어만 제시되어 있으며, 자동 업데이트를 통해 6.11.3이 설치되는지 여부는 명확히 밝혀지지 않았다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
