Webpros cPanel & WHM: Gespeichertes XSS in der Mass-Modify-Accounts-Oberfläche

Zusammenfassung

Eine gespeicherte Cross-Site-Scripting-Schwachstelle in der Mass-Modify-Accounts-Oberfläche von WHM in cPanel & WHM erlaubt es einem Angreifer, ein Skript zu hinterlegen, das im Browser eines WHM-Administrators ausgeführt wird. Bei erfolgreicher Ausnutzung kann der Angreifer mit der Sitzung des Administrators handeln, etwa Servereinstellungen ändern, Konten verwalten oder die SSL-Konfiguration verändern. Der Angreifer benötigt ein WHM-Konto mit geringen Rechten, zum Beispiel einen Reseller oder einen Hosting-Kunden, und ein Administrator muss die präparierte Seite öffnen. WP Squared ist ebenfalls betroffen.

Betroffen

• cPanel & WHM 110 vor 11.110.0.148
• cPanel & WHM 134 vor 11.134.0.61
• cPanel & WHM 136 vor 11.136.0.45
• cPanel & WHM 138 vor 11.138.0.11
• WP Squared vor 11.138.1.13

Behoben in

• cPanel & WHM 110: 11.110.0.148 oder neuer
• cPanel & WHM 134: 11.134.0.61 oder neuer
• cPanel & WHM 136: 11.136.0.45 oder neuer
• cPanel & WHM 138: 11.138.0.11 oder neuer
• WP Squared 138: 11.138.1.13 oder neuer

Umgehung

Keine vom Hersteller dokumentierte Workaround-Lösung. Das Patchen ist die Behebung. Nur kompensierende Massnahmen:

• Zugriff auf die WHM-Ports 2086 und 2087 nur von IP-Adressen der Administratoren oder per VPN erlauben.
• Multi-Faktor-Authentifizierung für WHM-Anmeldungen erzwingen.

Ausnutzung

• In den geprüften Quellen wurde zu Beginn Oktober 2026 keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Es wurde kein öffentlicher Proof-of-Concept-Exploit bestätigt.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Der Status kann sich seither geändert haben, daher CISA KEV und die Herstellerhinweise erneut prüfen.

Unsere Empfehlung

• cPanel & WHM und WP Squared auf die oben aufgeführten Fixversionen oder neuer aktualisieren.
• WHM-Zugriff auf IP-Adressen der Administratoren oder ein VPN beschränken und Multi-Faktor-Authentifizierung aktivieren.
• WHM-Administrationsprotokolle, kürzlich vorgenommene Kontoänderungen und neue privilegierte Konten auf Unregelmässigkeiten prüfen.
• Den gesamten cPanel-Patch-Stapel in einem Wartungsfenster einspielen, einschliesslich CVE-2026-93698, das höher eingestuft ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Webpros security advisory CVE-2026-93697 support.cpanel.net
• cPanel & WHM 110 change log docs.cpanel.net
• cPanel & WHM 134 change log docs.cpanel.net
• cPanel & WHM 136 change log docs.cpanel.net
• cPanel & WHM 138 change log docs.cpanel.net
• WP Squared change log docs.wpsquared.com
• HackerOne report hackerone.com
• VulDB CVE-2026-93697 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:17.