共享主机 - 卫方智能网络安全资讯平台

CVE-2026-48842：Roundcube 预认证 SQL 注入遭在野利用，52.3 万实例暴露

2026年9月25日作者卫方智能

加拿大网络安全中心 9 月 24 日更新通告，确认 5 月已修补的 Roundcube 预认证 SQL 注入 CVE-2026-48842 正被在野利用。Shadowserver 追踪到 52.3 万个公网实例，cPanel 默认预装该组件。

2026年9月25日作者卫方智能

cPanel 于 9 月 22 日紧急修复 CVE-2026-87899：只要持有任意一个 cPanel 账户，即可通过 CalDAV/CardDAV 功能提权至 root 并接管整台服务器。共享主机上一个普通租户就能横向吃掉同机所有站点。

2026年9月17日作者卫方智能

Acronis 备份插件存在 CWE-276 不安全默认权限缺陷，本地低权限用户可提权至 root（CVSS 7.8），厂商确认已在 cPanel & WHM 环境遭有限定向利用。共享主机上单账户被拿下可能连带同机其他客户。

2026年9月13日作者卫方智能

Plesk for Linux 备份额管理器被披露两个漏洞：CVE-2026-68487 路径遍历可写入任意 root 文件，CVE-2026-68488 符号链接竞态可本地提权，任意客户账户即可利用。

2026年9月2日作者卫方智能

cPanel & WHM 修复 CVE-2026-65643：任何拥有域名停放权限的普通托管账户，可在多租户服务器上创建任意文件并以 root 身份执行代码，单个恶意租户即可危及全服所有站点。