WebPros cPanel & WHM: OS Command Injection in Multilang adminbin

Zusammenfassung

Unzureichende Eingabevalidierung im Multilang adminbin, einem privilegierten Hilfsprogramm von cPanel & WHM, erlaubt die Ausführung beliebiger Betriebssystembefehle. Der CVSS-Vektor setzt niedrige Privilegien voraus (PR:L), ein Angreifer benötigt also einen gültigen cPanel-Account, den auf Shared Hosting jeder Mandant besitzen kann. Eine erfolgreiche Ausnutzung kann zur Befehlsausführung als root führen, mit voller Kontrolle über den Server und möglicherweise über andere gehostete Kunden. WP Squared ist gleichermassen betroffen.

Betroffen

• cPanel & WHM Builds unterhalb von 11.138.0.11, 11.136.0.45, 11.134.0.61 und 11.110.0.148
• WP Squared Builds unterhalb von 11.138.1.13

Behoben in

• Auf cPanel & WHM 11.138.0.11, 11.136.0.45, 11.134.0.61 oder 11.110.0.148 oder neuer aktualisieren (die Changelog-Einträge 110.0.148 und 134.0.61 gehören zum gezielten Sicherheitsrelease vom 29. September 2026; das Herstellerdokument nennt die übrigen Zweige)
• WP Squared auf 11.138.1.13 oder neuer aktualisieren

Umgehung

Unbekannt. Der Hersteller hat keine Workaround veröffentlicht; das Herstellerdokument empfiehlt das Patchen. Die Einschränkung des Zugriffs auf Administrationsoberflächen ist höchstens eine teilweise Massnahme, da die Schwachstelle innerhalb eines Hosting-Accounts erreichbar ist.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Nicht im CISA-KEV-Katalog aufgeführt. CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein öffentlicher Proof-of-Concept gefunden.
• Quellen widersprechen sich bezüglich der Voraussetzungen; der CVSS-Vektor deutet auf einen authentifizierten Benutzer mit niedrigen Privilegien hin.

Unsere Empfehlung

• Alle cPanel-&-WHM- und WP-Squared-Server so rasch wie möglich auf die korrigierten Versionen aktualisieren, idealerweise im nächsten Wartungsfenster.
• Wer nur Managed Hosting nutzt, den Provider bitten, das Patch-Datum schriftlich zu bestätigen.
• Prüfen, welche Accounts und Reseller Zugriff auf cPanel oder WHM haben, und nicht benötigte Accounts entfernen.
• Auf unerwartete Child-Prozesse des Multilang adminbin oder verwandter cPanel-Hilfsprozesse achten und ungewöhnliche Parameterkombinationen an adminbin-Endpunkten prüfen.
• Die finalen Versionsnummern direkt im Sicherheitshinweis des Herstellers prüfen, da dieser Eintrag auf Basis von Drittquellen erstellt wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-93698 Vendor advisory (cPanel support) support.cpanel.net
• cPanel & WHM 110 Change Log docs.cpanel.net
• cPanel & WHM 134 Change Log docs.cpanel.net
• cPanel & WHM 136 Change Log docs.cpanel.net
• cPanel & WHM 138 Change Log docs.cpanel.net
• WP Squared Change Log docs.wpsquared.com
• HackerOne report hackerone.com
• VulDB CVE-2026-93698 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:45.