cPanel 신규 취약점, 메일 권한 가진 호스팅 계정으로 root 코드 실행 가능

Swati Khandelwal · 2026년 9월 9일 · 취약점 / 웹 보안

cPanel이 단일 호스팅 계정으로 서버 전체를 장악할 수 있다고 밝힌 취약점에 대한 패치를 발표했다. 메일 관련 권한을 가진 인증된 계정 소유자는 EmailTrack을 통해 서버에 원하는 파일을 생성할 수 있으며, 이를 통해 root 사용자로 코드를 실행할 수 있다.

cPanel은 9월 8일 보안 권고문을 공개했으며, 지원되는 모든 버전의 cPanel 및 WHM이 영향을 받는다고 밝혔다.

이 취약점은 CVE-2026-67401로 추적된다. cPanel의 권고문은 EmailTrack의 SQL 인젝션(데이터베이스에 악의적 명령어를 삽입하는 공격) 문제라고 설명하지만, 계정에 어떤 기능이나 권한이 필요한지는 명시하지 않았다. cPanel 개발자 문서에는 이메일 통계를 추적하는 EmailTrack 모듈이 나와 있으나, 권고문은 해당 코드가 영향을 받는지 여부를 밝히지 않았다.

cPanel은 웹 호스팅 제어판 소프트웨어다. 고객은 cPanel을 통해 개별 호스팅 계정을 관리하고, 서비스 제공업체는 WHM을 통해 root 사용자로 서버 전체를 관리한다.

공격자들은 4월에도 다른 cPanel 취약점을 악용했다. 당시 보안 기업 Hadrian은 WHM을 장악하는 것이 고객 웹사이트 한 개를 침해하는 것과는 차원이 다르다고 설명했는데, WHM은 공격자에게 서버에 대한 root 관리자 권한을 부여하기 때문이다.

그 권한을 얻은 공격자는 서버의 모든 호스팅 계정을 읽고, 파일과 데이터베이스를 변경하며, 숨겨진 계정을 생성하고, 악성코드를 설치하며, 자격증명을 탈취하고, 고객 네트워크로 이동하는 것이 가능하다.

cPanel이 명시한 패치 적용 빌드는 다음과 같다:

릴리스 라인	고정 빌드
11.110	11.110.0.143
11.134	11.134.0.55
11.136	11.136.0.39
11.138	11.138.0.4
WP Squared	11.138.1.9

서버는 WHM의 Home / cPanel / Upgrade to Latest Version 메뉴에서 업데이트할 수 있다. 명령줄에서는 root로 로그인한 뒤 /usr/local/cpanel/scripts/upcp --force를 실행하면 된다.

권고문은 SQL 인젝션 문제가 어떻게 파일 생성, 그리고 root 권한 획득으로 이어지는지는 설명하지 않았다.

또한 권고문은 즉시 업데이트할 수 없는 서버를 위한 임시 조치도 제공하지 않았다. cPanel은 7월 30일 데이터베이스 취약점 권고문에서는 업그레이드가 불가한 관리자에게 MySQL 기능을 cPanel 사용자에게서 일시적으로 제거할 수 있다고 안내한 바 있다.

패치 목록은 110, 134, 136, 138 릴리스 라인을 포함한다. cPanel은 7월 권고문에서 11.118과 11.126 라인을 패치했지만 그 이후로 이 라인들을 목록에 포함시키지 않았으며, 아직 지원 중인지 여부도 밝히지 않았다.

8월 취약점의 경우 CVE 레코드는 11.112.0.0부터 11.134.0.53 미만까지의 모든 버전을 영향받는 범위로 나열하고 있으며, 118 또는 126 라인에 대한 고정 빌드는 기재하지 않았다.

cPanel은 또한 업데이트 전에 이미 공격을 받은 서버에 패치 빌드를 설치하는 것이 도움이 되는지, 또는 관리자가 이를 어떻게 확인할 수 있는지도 밝히지 않았다.

권고문에는 심각도 점수가 없다. cPanel의 최근 CVE들은 HackerOne을 통해 할당되며, 점수는 권고문이 아닌 CVE 레코드에 기재되고 있다.

8월 취약점의 레코드는 해당 권고문이 나온 지 5일 후인 9월 1일에 공개됐다. 해당 취약점은 CVSS 기준 10점 만점 중 8.7점으로, 높은 심각도를 나타낸다. The Hacker News가 9월 9일 CVE 프로그램 레코드 저장소를 확인했을 때 CVE-2026-67401에 대한 레코드는 아직 공개되지 않은 상태였다.

9월 9일 검색 기준으로 공개된 익스플로잇 코드나 악용 보고는 없었으며, CVE-2026-67401은 9월 8일 버전의 CISA 알려진 악용 취약점(KEV) 목록에도 등재되지 않았다.

다만 이 두 가지 확인이 악용 가능성을 배제하지는 않는다. 4월의 취약점, 즉 계정이 전혀 없어도 악용할 수 있는 인증 우회 취약점은 랜섬웨어 캠페인에서의 실제 악용이 확인되어 같은 목록에 등재돼 있다.

7월 말 이후 공개된 다른 두 cPanel 취약점도 일반 호스팅 계정에서 시작된다. 7월 30일 권고문은 데이터베이스 기능에 접근 권한이 있는 계정이 전체 관리자 권한으로 데이터베이스 명령을 실행할 수 있게 하는 데이터베이스 취약점을 다뤘다. cPanel은 8월 27일 도메인 파킹 취약점에 대해서도 이번 취약점과 동일한 결과, 즉 root 권한의 코드 실행으로 끝난다고 설명했다.

The Hacker News가 9월 9일 확인했을 때, 이 두 취약점에 대한 작동 익스플로잇이라고 스스로 소개하는 리포지터리들이 온라인에 존재했다.

cPanel은 이번 취약점 제보자로 Ali Mustafa(rz1027)와 abed1526을 크레딧에 올렸다. 8월 취약점의 CVE 레코드도 동일한 이름, Ali Mustafa를 크레딧으로 기재하고 있다.

cPanel의 권고문이나 해당 레코드 어느 것도 두 취약점을 동일한 코드와 연결하지 않았다. 레코드들은 두 취약점을 다르게 분류하는데, cPanel의 자체 제목에 따르면 8월 취약점은 eval 인젝션, 이번 취약점은 SQL 인젝션이다.