WP Toolkit: Argument-Injection ermöglicht lokale Codeausführung unter anderen Konten
Zusammenfassung
WP Toolkit für cPanel enthält eine Argument-Injection-Schwachstelle (CWE-88). Ein lokaler Benutzer mit gültigem cPanel-Login kann diese nutzen, um beliebigen Code unter anderen Konten auf demselben Server auszuführen. Der auf dem CNA-Eintrag basierende CVSS-Wert beträgt 8.5 (v4.0, High). Das Risiko ist auf Shared-Hosting-Servern mit nicht vollständig vertrauenswürdigen Mandanten am höchsten, da die kontoübergreifende Codeausführung die Mandantentrennung aufhebt.
Betroffen
- WP Toolkit (WebPros, für cPanel) Versionen 0 bis vor 6.11.4 gemäss CVE-Eintrag
- Plesk-Builds: Unbekannt
Behoben in
- WP Toolkit 6.11.4 oder neuer (Behebung laut einem Changelog eines Drittanbieters; noch nicht in der Herstellerempfehlung bestätigt)
Umgehung
- Unbekannt. Für diese CVE ist keine Workaround-Massnahme dokumentiert. Das Aktualisieren auf 6.11.4 ist die Behebung.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Nicht im CISA-KEV-Katalog. Der EPSS-Wert ist niedrig.
- Kein öffentlicher Proof of Concept gefunden; dies ist ein Nichtbefund, keine Bestätigung.
Unsere Empfehlung
- Prüfen, ob WP Toolkit (wp-toolkit-cpanel) installiert ist, und auf 6.11.4 oder neuer aktualisieren.
- Prüfen, welche cPanel-Konten existieren und wer diese kontrolliert, und den Zugriff auf WP Toolkit auf vertrauenswürdige Administratoren beschränken.
- Shared-Hosting-Server mit nicht vertrauenswürdigen Mandanten priorisieren.
- Auf unerwartete Prozesse oder Dateiänderungen in fremden Konten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- cPanel security advisory CVE-2026-93699 support.cpanel.net
- Strix CVE-2026-93699 www.strix.ai
- PSIRT CVE-2026-93699 psirt.com
- Creoline WP Toolkit extension (changelog) marketplace.creoline.com
- Vulners Rapid7 CVE-2026-93699 (EPSS) vulners.com
- OffSeq Radar CVE-2026-93699 radar.offseq.com
- The Hacker News: cPanel flaw lets hosting account holders thehackernews.com
- CloudMinister cPanel security update September 2026 cloudminister.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:10.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.