cPanel-CVE-2026-93698 命令注入漏洞

据开源漏洞情报警告:cPanel Multilang adminbin 对输入验证不足，导致攻击者可以执行任意操作系统命令(CVE-2026-93698)。
漏洞基本信息
漏洞编号： CVE-2026-93698
漏洞类型： CWE-78（操作系统命令注入 / OS Command Injection）
CVSS v3 评分： 9.9 / 10（严重 / Critical）
CVSS 向量： CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
影响组件： WebPros cPanel 的 Multilang adminbin 二进制组件
发布时间： 2026 年 10 月 2 日
漏洞成因与原理
漏洞源于 cPanel 的 Multilang adminbin 处理外部输入时缺少充分的输入验证与转义（Insufficient Input Validation）。
当具备低权限（如低权限普通用户或受限账号）的攻击者向该组件发送精心构造的输入时，系统未能正确过滤或剥离特殊字符，导致输入的参数被拼接进底层操作系统指令中，触发命令注入。
攻击与威胁影响
远程代码执行（RCE）：攻击者无需具备管理员权限，只需较低的用户权限（Low Privilege），即可通过网络远程在服务器底层执行任意系统命令。
完全接管服务器：借助命令注入，攻击者可实现提权、窃取敏感文件（如数据库凭据、配置信息）、篡改网站数据，甚至将服务器作为跳板机进一步渗透内部网络。
高可用性威胁：攻击者可导致服务器服务中断或完全停机（DoS）。
影响版本与修复建议
1. 受影响的版本
以下 cPanel 版本系列受此漏洞影响：
11.138.x 系列（低于 11.138.0.11 或 11.138.1.13）
11.136.x 系列（低于 11.136.0.45）
11.134.x 系列（低于 11.134.0.61）
11.110.x 系列（低于 11.110.0.148）
2. 缓解与修复方案
紧急更新补丁：运维管理员应立即检查 cPanel 官方安全公告，将系统一键升级至最新的已修复维护版本（例如升级至 11.138.0.11 及以上对应版本的修复分支）。
最小权限原则：在未完成升级前，严格控制并审计可访问 cPanel 后台的用户权限，限制不信任用户的访问。
访问控制（ACL）：对 cPanel 管理接口限制公网暴露面，增加 IP 白名单或通过 VPN 接入管理。