Критический Безопасность хостинга Linux Консультации
WebCare360 выпускает данное сообщение для пользователей VPS, выделенных серверов и хостинга о многочисленных уязвимостях высокой степени серьезности, затрагивающих cPanel/WHM, Apache HTTP Server, OpenSSH, ядро Linux и среды хостинга на базе CloudLinux.
Компания WebCare360 рекомендует пользователям VPS, выделенных серверов, управляемого хостинга и самоуправляемых серверов обратить внимание на несколько важных уязвимостей в системе безопасности Linux-хостинга, раскрытых в период с конца апреля по начало мая 2026 года. Эти проблемы затрагивают широко используемые компоненты хостинга, включая cPanel/WHM, Apache HTTP Server, OpenSSH, пакеты ядра Linux и среды CloudLinux.
Эти уязвимости могут повлиять на хостинговые серверы под управлением cPanel, AlmaLinux, CloudLinux, Rocky Linux, RHEL-совместимых систем, Ubuntu, Debian, Apache HTTP/2, аутентификации сертификатов OpenSSH или живых патчей на основе KernelCare. Клиентам и администраторам серверов следует проверить версии установленных пакетов, применить поддерживаемые производителем исправления и перезагрузиться при необходимости.
Важно: Эти уязвимости не обязательно затрагивают каждый сервер WebCare360 или клиентскую среду. Применимость зависит от операционной системы, установленных пакетов, включенных служб, использования панели управления, конфигурации HTTP/2, схемы аутентификации SSH, версии ядра и состояния живых патчей.
Краткое описание уязвимостей
| Компонент | CVE | Тяжесть | Основное действие |
|---|---|---|---|
| cPanel / WHM / WP Squared | CVE-2026-41940 | Критический - CVSS 9.8 | Немедленно обновите cPanel/WHM |
| Ядро Linux | CVE-2026-31431 | Высокий уровень - CVSS 7.8 | Обновите ядро и перезагрузитесь, или проверьте живой патч |
| HTTP-сервер Apache | CVE-2026-23918 | Высокий / важный | Обновите Apache 2.4.66 до 2.4.67 или пакет, исправленный производителем |
| OpenSSH | CVE-2026-35414 | Степень серьезности требований поставщиков различна | Обновите OpenSSH, особенно если используете аутентификацию с помощью сертификата SSH. |
Подробная информация об уязвимости и рекомендации по исправлению
Критическая уязвимость обхода аутентификации затрагивает открытые сервисы cPanel & WHM / WP Squared. Успешная эксплуатация может привести к несанкционированному доступу к административным функциям без действительных учетных данных. Любой сервер с cPanel/WHM или WP Squared должен быть немедленно проверен и исправлен.
Ссылки:
Уязвимость локального повышения привилегий в ядре Linux может позволить непривилегированному локальному пользователю получить привилегии root на затронутых системах. Это особенно важно для виртуального хостинга, узлов VPS, контейнерных хостов, серверов с закрытым доступом к оболочке, сред реселлеров и систем, где может выполняться недоверенный локальный код.
RHEL / AlmaLinux / Rocky Linux / CloudLinux:
Старые системы на базе yum:
Ubuntu / Debian:
Системы с поддержкой KernelCare:
Ссылки:
Apache HTTP Server 2.4.66 подвержен уязвимости double-free в обработке HTTP/2, которая может привести к отказу в обслуживании или возможному удаленному выполнению кода. Системы, работающие под управлением Apache 2.4.66 с включенным HTTP/2, должны быть обновлены до Apache 2.4.67 или исправленного пакета, предоставленного поставщиком операционной системы или панели управления.
cPanel / EasyApache 4 системы:
Старые системы на базе yum:
Примечание к репозиторию CloudLinux:
Проверьте состояние Apache и HTTP/2:
Ссылки:
OpenSSH до версии 10.3 содержит проблему, связанную с авторизованные_ключи директора в нестандартных конфигурациях SSH-сертификатов. Риск наиболее высок для сред, использующих аутентификацию на основе сертификатов SSH с cert-authority и директора= ограничения.
Системы, не использующие аутентификацию с помощью сертификата SSH, подвержены значительно меньшему риску, но WebCare360 все равно рекомендует установить обновление OpenSSH, предоставленное производителем.
RHEL / AlmaLinux / Rocky Linux / CloudLinux:
Ubuntu / Debian:
Проверьте конфигурацию сертификата-принципала SSH на предмет повышенного риска:
Ссылки:
Рекомендуемые действия для клиентов VPS и выделенных серверов
- Немедленно обновите cPanel/WHM если оно установлено, и подтвердите версию установленной cPanel после запуска обновления.
- Убедитесь, что Apache не использует уязвимую версию 2.4.66., Особенно если включен HTTP/2.
- Установите последние обновления ядра операционной системы и перезагрузитесь, если не будет подтверждено наличие живых исправлений.
- Обновление OpenSSH при использовании пакетов производителя, особенно если используется аутентификация с помощью сертификата SSH.
- Обзор административного доступа, В том числе ключи SSH, пользователи WHM, API-токены, задания cron, правила sudoers и неожиданные привилегированные учетные записи.
- Подтвердите актуальность резервных копий и хранится за пределами пораженного сервера.
Команды быстрой проверки
Для систем семейства cPanel / RHEL:
Для систем Ubuntu / Debian:
Часто задаваемые вопросы
Касается ли эта рекомендация всех клиентов WebCare360?
Нет. Применимость зависит от операционной системы, установленного программного обеспечения, панели управления, версии Apache, конфигурации SSH, версии ядра, а также от того, является ли сервер управляемым или самоуправляемым.
Нужно ли клиентам неуправляемых VPS и выделенных серверов ставить заплатки вручную?
Да. Клиенты с неуправляемыми VPS или выделенными серверами несут ответственность за применение обновлений, перезагрузку при необходимости и проверку того, что уязвимые версии программного обеспечения больше не установлены.
Следует ли рассматривать серверы cPanel/WHM как срочные?
Да. Серверы с уязвимыми версиями cPanel/WHM должны быть немедленно обновлены, поскольку проблема cPanel является критической и подтверждена как активно эксплуатируемая.
Требуется ли перезагрузка после обновления ядра?
В большинстве случаев - да. После установки нового ядра требуется перезагрузка, если только KernelCare или другое решение для живого исправления не подтвердит, что соответствующий CVE уже исправлен в памяти.
Нужна помощь в обеспечении безопасности сервера?
Клиенты WebCare360 с управляемыми VPS или выделенными серверами могут связаться с нашей службой поддержки, чтобы уточнить статус исправления, проверить затронутые услуги или запросить помощь в обновлении системы безопасности. Клиентам серверов с самостоятельным управлением следует ознакомиться с вышеупомянутой рекомендацией и как можно скорее применить соответствующие исправления.
Открыть тикет в службу поддержки
