웹호스팅 관리 도구인 cPanel과 WHM에서 심각한 보안 취약점(CVE-2026-65643)이 발견됐습니다. 이 취약점을 악용하면 서버에 일반 계정을 가진 사용자가 서버 최고 관리자(root) 권한으로 코드를 실행해 서버 전체를 장악할 수 있어 공유 호스팅 환경에서 특히 위험합니다. cPanel은 즉시 패치 버전을 배포했으며, 자동 업데이트가 설정된 서버는 자동으로 반영되고 수동 적용은 `/scripts/upcp --force` 명령으로 가능합니다. 같은 cPanel 생태계에서 이미 실제 악용이 확인된 취약점(CVE-2026-54420 등)도 존재하므로 빠른 패치 적용이 필수입니다. 패치가 적용돼도 이미 발생한 침해를 되돌리지는 못하기 때문에, 사전 침해 여부 확인도 함께 권고됩니다.
cPanel & WHM의 도메인 파킹 및 애드온 도메인 기능에서 심각한 취약점(CVE-2026-65643)이 발견됐다. 인증된 계정 보유자가 서버에 임의 파일을 생성하고 root 권한으로 코드를 실행할 수 있다.
공격 성공 시 서버 전체를 완전히 장악 가능. 모든 지원 버전의 cPanel & WHM에 영향을 미치며, 공유 호스팅 환경의 다른 고객 데이터도 위험에 노출된다.
도메인 파킹·애드온 도메인 기능의 파일 생성 처리 로직 결함으로, 권한 없는 파일 경로에 임의 파일 생성이 가능하다.
cPanel이 패치 버전(11.110.0.141, 11.134.0.53, 11.136.0.37, 11.138.0.2 이상 등)을 배포했다. 자동 업데이트 서버는 자동 적용되며, 수동 적용은 root로 접속 후 `/scripts/upcp --force` 실행 또는 WHM 메뉴에서 가능하다.
EOL(지원 종료) 버전 서버는 지원 버전으로 업그레이드해야 패치를 받을 수 있다. 임시 완화 조치나 공식적인 사전 침해 확인 방법이 제공되지 않아 즉각적인 패치가 유일한 대응책이며, Plesk의 사례처럼 /etc/ld.so.preload 등 시스템 이상 여부를 수동 점검하는 것이 권고된다.
본문
cPanel이 도메인 파킹 및 애드온 도메인 기능에 영향을 미치는 보안 결함에 대한 패치를 cPanel 및 WebHost Manager(WHM)에 배포했습니다. 이 결함을 악용하면 root 사용자 권한으로 코드를 실행할 수 있습니다.
CVE 식별자 CVE-2026-65643이 부여된 이 취약점은 cPanel & WHM의 모든 지원 버전에 영향을 미칩니다.
cPanel은 이를 심각한(critical) 보안 취약점으로 규정하며, 파킹 도메인 또는 애드온 도메인을 추가할 수 있는 인증된 계정 보유자가 서버에 임의 파일을 생성할 수 있다고 밝혔습니다.
cPanel은 고객 공지에서 "익스플로잇(exploit, 취약점 악용)에 성공하면 root 사용자 권한으로 코드가 실행되어 공격자가 서버를 완전히 제어할 수 있게 된다"고 설명했습니다.
cPanel이 배포한 패치 버전은 다음과 같습니다:
- 11.110.0.141 이상
- 11.134.0.53 이상
- 11.136.0.37 이상
- 11.138.0.2 이상
- 11.138.1.7 이상 (WP Squared)
공지에는 WP Squared가 패치 목록에 포함되어 있으며, DNSOnly는 언급되지 않았습니다.
cPanel은 7월에도 세 건의 별도 결함을 패치했으며, 당시 공지에서 언급된 수정 빌드에는 11.118 및 11.126 브랜치가 포함됐습니다. 8월 27일 목록은 110, 134, 136, 138 브랜치를 대상으로 하며, 11.118 및 11.126이 여전히 지원 중인지에 대해서는 공식 발표가 없습니다.
cPanel은 Exim 결함에 관한 7월 공지에서 Team User 하위 계정으로부터의 권한 상승이 가능할 수 있다고 언급했습니다. 8월 27일 공지는 파킹 도메인 및 애드온 도메인 권한을 가진 Team User 하위 계정이 취약점 범위에 포함되는지 명시하지 않았습니다.
공지(2026년 8월 27일 발행)에 따르면, 매일 자동 업데이트가 설정된 서버는 패치 빌드를 자동으로 수신합니다.
관리자는 root로 서버에 로그인한 후 /scripts/upcp --force를 실행해 즉시 적용할 수 있습니다. 또한 WHM의 Home > cPanel > Upgrade to Latest Version 메뉴에서도 업데이트를 설치할 수 있으며, 설치된 빌드는 Server Configuration > Update Preferences에서 확인할 수 있습니다.
지원 종료(end-of-life) 버전을 실행 중인 서버는 수정 사항을 받으려면 지원 버전으로 업그레이드해야 합니다.
고객 공지에는 CVSS 점수가 포함되어 있지 않으며, The Hacker News가 2026년 8월 28일 CVE 프로그램의 레코드 저장소를 확인한 결과 CVE-2026-65643에 대한 공식 레코드는 아직 게시되지 않은 것으로 확인됐습니다. 7월 31일 공개된 두 건의 cPanel 결함인 CVE-2026-58048과 CVE-2026-58047의 레코드는 확인 당시 모두 존재했습니다.
cPanel은 해당 결함이 실제로 악용됐는지 밝히지 않았으며, 2026년 8월 27일 버전 기준으로 미국 사이버보안·인프라보안청(CISA)의 알려진 악용 취약점(KEV, Known Exploited Vulnerabilities) 목록에도 등재되지 않은 상태입니다. 다만 해당 목록에는 cPanel 플러그인의 취약점 두 건이 이미 포함되어 있습니다.
CISA는 2026년 5월 26일 LiteSpeed cPanel 플러그인의 권한 상승 결함인 CVE-2026-48172를 등재했으며, cPanel 계정이 있는 누구나 이를 악용해 root 권한으로 임의 스크립트를 실행할 수 있다고 명시했습니다.
또한 2026년 6월 15일에는 CloudLinux 또는 CageFS가 실행되는 공유 호스팅 서버에서 FTP 또는 웹 셸(web shell) 접근 권한을 가진 사용자가 악용할 수 있는 동일 플러그인의 심링크(symlink, 심볼릭 링크) 추적 결함인 CVE-2026-54420을 등재했습니다.
KEV 목록에는 4월에 패치된 인증 우회 취약점인 CVE-2026-41940도 포함되어 있으며, 랜섬웨어 캠페인에서의 악용 사례가 확인된 바 있습니다.
고객 공지에는 임시 완화 조치나 서버가 이미 침해됐는지 확인하는 방법이 제공되어 있지 않습니다.
cPanel은 2026년 8월 14일 발행한 Phusion Passenger 권고문에서 Apache 오류 로그를 grep(검색)하여 익스플로잇 흔적을 찾는 명령어를 제공했습니다.
cPanel은 해당 문제가 기본 설치 환경에는 영향을 미치지 않으며, 영향받는 Passenger 패키지가 설치된 서버에만 해당된다고 밝혔습니다.
WebPros가 cPanel과 함께 개발하는 Plesk는 2026년 8월 14일 동일 결함에 대한 자체 권고문을 업데이트하며, 사전 침해 여부를 확인하는 5개 항목의 체크리스트를 제공했습니다. 그 첫 번째 항목은 /etc/ld.so.preload의 예상치 못한 항목 확인입니다.
Plesk는 "패치를 적용하면 이후의 취약점 악용은 차단되지만, 공격자가 이미 수행한 행위는 되돌릴 수 없다"고 밝혔습니다.
Passenger를 개발하는 Phusion은 2026년 8월 18일 CVE 식별자가 없는 Watchdog API 결함에 대한 수정을 Passenger 6.2.0에 반영했습니다.
Phusion은 "한 공유 호스팅 사업자 환경에서 이 취약점이 실제로 악용되는 것을 확인했다"고 밝혔습니다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
