cPanel 重大漏洞可拖累共用主機 網站東主點確認供應商已修補
攻擊者要先有有效帳戶，但資料庫管理權限失守可波及同機網站
有效 cPanel 帳戶先打得到
cPanel & WHM 新修補嘅 CVE-2026-58048，CVSS 4.0 評分有 9.4，個數字睇落相當嚇人，不過利用條件要講清楚。攻擊者要先登入一個有效 cPanel 帳戶，而且嗰個帳戶要有 MySQL 或 MariaDB 功能。換句話講，單靠知道網站網址，暫時打唔到呢個漏洞；入場方法可以係偷返嚟嘅登入資料，亦可能係攻擊者自己租用嘅共用 hosting 帳戶。
NVD 資料顯示，問題出喺 cPanel 幫用戶重新命名資料庫嗰段流程，系統冇妥善保留 SQL mode，結果低權限帳戶有機會令 SQL 指令用資料庫 root 身份執行。呢度講嘅 root 係 MySQL／MariaDB 管理帳戶，唔等於攻擊者一成功就攞到 Linux root 或完整 WHM 控制權，兩種權限唔可以撈埋講。
圖片：cPanel
共用 hosting 嘅跨帳戶風險最大
資料庫 root 已經足以造成大麻煩。如果一部 server 上面多個 cPanel 帳戶共用同一個 MySQL 或 MariaDB instance，成功利用後，攻擊者可能讀取、修改甚至刪除其他帳戶嘅資料庫。網店訂單、客戶聯絡資料、CMS 管理員帳戶、密碼雜湊同網站設定，都可能成為目標；資料庫服務一旦俾人破壞，同機一批網站亦可能一齊停擺。
呢點令共用主機特別尷尬：平時每個客戶睇落有獨立 cPanel 帳戶，但底層資料庫管理層仍然係共享資源。一個平價 hosting 帳戶，理論上已可成為攻擊入口。至於獨立 server 或只有單一租戶嘅 VPS，跨客戶範圍通常細啲，不過網站本身嘅資料仍然有風險，照樣要更新。
cPanel 官方亦提醒，視乎作業系統、資料庫引擎同安全設定，資料庫管理權限有可能再變成作業系統層面入侵。例如部分資料庫設定容許寫檔或載入額外元件，攻擊者就可能搵到再上一級嘅路。不過呢個結果有附帶條件，暫時唔應寫成每次利用都會直接取得 server root。
所有仍獲支援版本都要更新
cPanel 公告指，所有仍獲支援嘅 cPanel & WHM 版本線都受影響。各版本線最低安全版本分別係 11.110.0.137、11.118.0.71、11.126.0.78、11.134.0.48 同 11.136.0.32；WP Squared 就要去到 138.1.6。server 管理員可喺 WHM 揀「Upgrade to Latest Version」，或者用官方提供嘅 upcp --force 指令更新。
如果短時間內更新唔到，官方建議暫時喺 cPanel Feature Manager 收起用戶嘅 MySQL 功能。呢個做法唔會關閉現有資料庫，網站理論上仍可繼續運作，但用戶會暫時加唔到或刪唔到資料庫。呢招只適合短期頂住，亦可能影響新網站部署、搬站同部分自動安裝工具，安排維護時要預埋。
網站東主可以點確認
買共用 hosting 嘅網站東主通常冇 WHM root 權限，更新責任落喺供應商。登入 cPanel 後，可先睇左下角版本號，或者去「Server Information」搵 cPanel Version，再同上面嘅安全版本比較。如果供應商隱藏咗呢頁，就直接開支援單，提供帳戶用緊嗰部 server 名稱，問清楚而家裝緊邊個版本，同幾時完成更新。
截至公告公開時，NVD 引用嘅 CISA SSVC 資料標示 未有已知實際利用證據，亦冇資料證明漏洞正俾人大規模攻擊。iThome 報道提到近期 cPanel 相關攻擊受關注，但嗰啲事件唔代表 CVE-2026-58048 已遭利用。兩樣要分清楚：而家要快手核實有冇修補，但唔使一見網站異常就當係呢個漏洞搞出嚟。
香港 hosting 供應商有冇用到受影響版本，暫時冇逐間可核實嘅公開資料。中小企、網店同代理公司最好留低供應商嘅書面確認；如果版本仍然過舊，或者對方答唔到修補時間，就先備份網站檔案同資料庫，再考慮搬去更新交代較清楚嘅主機。
參考來源
- iThome — 網站主機管理平臺cPanel存在重大漏洞，攻擊者可透過資料庫root權限執行SQL指令 — original report
- cPanel：CVE-2026-58048 Database Privilege Escalation — 官方公告，列出利用條件、影響、修補版本同臨時緩解方法
- NVD：CVE-2026-58048 — 核對漏洞成因、CVSS 向量、受影響版本同已知利用狀態
- cPanel 文件：Server Information for cPanel — 確認一般 cPanel 用戶可以喺邊度查看 server 版本
- cPanel：How do I update cPanel/WHM? — 官方 WHM 同指令列更新步驟
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
