cPanel แจ้งช่องโหว่ระดับวิกฤต ลูกค้าโฮสต์รายเดียวอาจยึดสิทธิ์ root ของทั้งเซิร์ฟเวอร์ได้

cPanel ออกประกาศช่องโหว่ CVE-2026-65643 ระดับวิกฤต ซึ่งเปิดทางให้ผู้ใช้บัญชีโฮสต์ที่ล็อกอินได้ตามปกติสร้างไฟล์ตามอำเภอใจบนเซิร์ฟเวอร์ จนนำไปสู่การรันโค้ดด้วยสิทธิ์ root และควบคุมเครื่องทั้งเครื่องได้

cPanel เผยแพร่ประกาศความปลอดภัยเกี่ยวกับช่องโหว่ CVE-2026-65643 ซึ่งบริษัทจัดระดับเป็นวิกฤต แม้ยังไม่มีการเผยแพร่คะแนน CVSS อย่างเป็นทางการ ณ วันที่ 28 สิงหาคม 2026 เงื่อนไขการใช้ช่องโหว่คือผู้โจมตีต้องมีบัญชีที่ล็อกอินได้และมีสิทธิ์เพิ่มโดเมนแบบ parked หรือ addon ซึ่งเป็นสิทธิ์พื้นฐานที่ลูกค้าโฮสต์ทั่วไปมีอยู่แล้ว

เมื่อมีเงื่อนไขครบ ผู้โจมตีจะสร้างไฟล์ตามอำเภอใจบนเซิร์ฟเวอร์ได้ และนำไปสู่การรันโค้ดด้วยสิทธิ์ root ซึ่งเท่ากับควบคุมเครื่องได้ทั้งหมด ประเด็นที่ทำให้เรื่องนี้ร้ายแรงเป็นพิเศษคือโครงสร้างของ shared hosting ที่มีลูกค้าหลายรายอยู่บนเครื่องเดียวกัน การที่ลูกค้ารายเดียวยึดสิทธิ์ root ได้จึงหมายถึงข้อมูลของลูกค้ารายอื่นทั้งเครื่องตกอยู่ในความเสี่ยงไปด้วย

เวอร์ชันที่ได้รับผลกระทบคือ cPanel และ WHM ทุกเวอร์ชันที่ยังรองรับอยู่ ส่วนเวอร์ชันที่แก้ไขแล้วได้แก่ 11.110.0.141, 11.134.0.53, 11.136.0.37, 11.138.0.2 และ 11.138.1.7 สำหรับสาย WP Squared หรือเวอร์ชันที่ใหม่กว่านั้น เซิร์ฟเวอร์ที่ตั้งค่าให้อัปเดตอัตโนมัติรายวันจะได้รับแพตช์เอง ส่วนเครื่องที่ปิดการอัปเดตอัตโนมัติต้องสั่งอัปเดตเองผ่านบรรทัดคำสั่งหรือหน้าจอ WHM

ในแง่สถานการณ์การโจมตี ยังไม่พบโค้ดโจมตีที่เผยแพร่สู่สาธารณะ และช่องโหว่นี้ยังไม่ถูกบรรจุในบัญชีช่องโหว่ที่ถูกใช้โจมตีจริงของ CISA ณ วันที่ 27 สิงหาคม 2026 อย่างไรก็ตามผู้ผลิตไม่ได้ให้มาตรการบรรเทาชั่วคราวหรือวิธีตรวจสอบว่าเครื่องถูกเจาะไปแล้วหรือยัง ซึ่งหมายความว่าการอัปเดตคือทางเดียวที่ทำได้

สำหรับธุรกิจไทยที่ใช้ shared hosting หรือ VPS ที่มี cPanel ติดตั้งอยู่ สิ่งที่ควรทำคือติดต่อผู้ให้บริการโฮสต์เพื่อยืนยันว่าได้อัปเดตเป็นเวอร์ชันที่แก้ไขแล้วหรือยัง ซึ่งเป็นคำถามที่ผู้ให้บริการที่ดีควรตอบได้ทันที ส่วนทีมที่ดูแลเซิร์ฟเวอร์เอง ควรถือโอกาสนี้ทบทวนว่าเปิดการอัปเดตอัตโนมัติไว้หรือไม่ และมีการสำรองข้อมูลนอกเครื่องที่กู้คืนได้จริงหรือเปล่า บทเรียนที่กว้างกว่านั้นคือบนสภาพแวดล้อมที่ใช้ทรัพยากรร่วมกัน ความปลอดภัยของเราขึ้นอยู่กับเพื่อนบ้านบนเครื่องเดียวกันด้วย งานที่มีข้อมูลอ่อนไหวจึงควรพิจารณาแยกไปอยู่บนเครื่องของตัวเอง