先說結論：使用 cPanel 或 WHM 管理網站主機的團隊，應立即核對 EmailTrack 弱點 CVE-2026-67401 的修補版本。cPanel 在 2026 年 9 月 8 日公告，具備郵件相關權限、已登入控制台的帳號，可能藉此在受影響主機上建立非預期檔案，最終取得最高系統權限。EmailTrack 是查看郵件投遞追蹤資訊的功能；WHM 則是主機管理者操作多個網站帳號的介面。本文於 10 月 6 日重新查核 cPanel 原廠、盧安達國家網安機關與 Check Point 官方公告。它是一項需要先有特定帳號權限的高風險弱點，不能改寫成任何未登入的網路訪客都能直接接管伺服器，也不能把可能造成的全面影響誤認為個別主機已遭攻破。
背景與前因：共用主機往往在同一台作業系統上提供多個網站、資料庫及郵件服務。一般網站管理員能處理自己的帳號，卻不應取得整台主機的最高權限。EmailTrack 原本只是提供郵件流程的查詢；當這類功能在處理資料時跨越帳號與系統的信任邊界，就可能讓權限小的使用者影響其他租戶。cPanel 的原始安全公告發布於 9 月 8 日，盧安達國家網安機關在 9 月 10 日另行發布管理者警示，Check Point 在 9 月 14 日發布針對同一漏洞的防護資訊。今天重新核對這三份來源，是為了分開理解原廠修補、公共機關的維運建議以及另一家安全廠商對偵測的處理；本文沒有將九月的事件說成今天才發現。
原因與前置條件：原廠指出，須有已通過 cPanel 驗證並具郵件相關權限的帳號，才符合這項弱點的重要前提。漏洞被歸類為 SQL 注入，意思是應由資料庫當作一般資料處理的輸入，可能錯誤改變查詢的意義；公開文章不需要展示查詢字串或操作步驟。cPanel 警告，在特定情況下可能建立主機上的任意檔案並造成以 root 身分執行程式。root 是類 Unix 系統的最高管理權限；若被取得，影響可能跨越同機的網站、資料庫與其他帳號。這是漏洞能造成的後果，不是任何一個寄過郵件的人都自然取得了 root，也不是每個主機上都已出現惡意檔案。
影響範圍：cPanel 公告將當時所有受支援版本列為需要核對的範圍，但不同維護支線的第一個修補版並不相同。11.110 支線是 11.110.0.143，11.134 是 11.134.0.55，11.136 是 11.136.0.39，11.138 是 11.138.0.4；WP Squared 的 WP2 支線則是 11.138.1.9。維運者應把完整版本號與所屬支線一起記錄，不能只看前兩段數字，也不能以別的支線較大的版號推定自己的主機已修補。盧安達國家網安機關的警示獨立整理相同產品邊界，並要求管理者讀回實際安裝版本。若由代管業者控制更新流程，租戶仍可請業者提供完成更新與版本核對的證據。
前置權限值得單獨檢查。『必須有可登入且具郵件相關權限的帳號』不表示風險很小：共用主機可能有多名網站負責人、外包維護者與歷史帳號，權限實際分配也可能超過原本需求。另一方面，沒有這項前置權限的匿名訪客不應被本文寫成可單靠該漏洞直接觸發最高權限。盤點時可把每個帳號的啟用狀態、郵件功能權限、最後使用時間與責任人逐項核對；若有不再使用的帳號，依既有流程停用或降低權限。這是縮小可被濫用的入口，不能代替更新程式本身。
你可以怎麼做：先由有權限的管理者清查每台 cPanel／WHM 主機、WP2 服務及對應版本支線，確認目前版本是否達原廠列出的固定版。安排更新前保存有效備份並測試可還原性，避免只留下無法讀取的備份檔；升級完成後在實際提供服務的節點回讀版本，檢查控制台登入、郵件投遞追蹤、網站與資料庫是否正常。多節點環境應逐台核對，因為一台已更新的管理畫面不能證明其他節點也完成。若短期無法更新，應記錄負責人、預定完成時間及可暫時收緊的帳號權限，但不要把這些權限調整稱為永久修補。
若有可疑狀況，調查要先保留證據。管理員可依組織授權流程保存 cPanel 存取紀錄、郵件功能相關紀錄、檔案與帳號變更時間線、系統程序紀錄，以及更新前後的設定差異。應特別注意原本只需管理單一網站或郵件的帳號，是否在同一時段伴隨不尋常的主機層級變動。沒有找到單一特徵，不足以保證未受影響；看到可疑檔案，也不能只因時間接近就直接歸因於此 CVE。若疑似已有最高權限濫用，應由授權應變人員決定隔離、還原與其他帳號的檢查順序，避免先清除檔案而破壞日後判斷所需資料。
Check Point 的獨立防護公告為這項 CVE 建立偵測項目，說明其安全閘道能在更新防護後辨認疑似利用流量。這有助於已使用該產品的團隊評估額外監測，但它描述的是 Check Point 的防護能力，不是 cPanel 產品的修補版。網路設備若未在正確路徑、政策或模式下檢查流量，也不應被當成所有主機已受到保護。即使有外層偵測，cPanel 原廠的安全更新仍是修復受影響程式的主要步驟。本文不提供攻擊封包、資料庫指令或可操作的重現細節，管理者可依官方文件和既有安全團隊程序完成檢查。
來源間也有分工與限制。cPanel 原廠最直接支持前置條件、修補版與可能的 root 影響；盧安達國家網安機關以公共維運角度提醒版本確認、備份與權限檢查；Check Point 的公告只支持其對該 CVE 的網路防護資訊，不能拿來證明某個網站主機已遭攻擊。這三份來源在 10 月 6 日均可取得，但都沒有列出讀者組織的資產清單，也無法替任何代管環境保證升級完成。若讀者看見第三方掃描報告與實際版本不一致，應先查明掃描時間、維護支線和實際運作節點，再下處置結論。
這篇文章能給出的結論是：CVE-2026-67401 的風險來自具郵件權限的已登入帳號可能越過原本的租戶界線，影響整台主機；受影響單位應依自己支線升至固定版，讀回結果，保存需要的調查紀錄並收斂不必要的帳號權限。尚未能回答的問題包括各組織到底有多少主機仍未更新、哪些外包帳號保留郵件相關權限，以及是否有可支持實際利用的本地證據。公開公告支持優先處理，不等於特定網站已失陷或資料已外流；這些判斷只能由當事環境的版本、日誌與授權調查完成。
官方來源：
- Security: CVE-2026-67401 SQL Injection Vulnerability in cPanel's EmailTrack Functionality（cPanel）
- Security Alert: Critical cPanel & WHM Vulnerability – CVE-2026-67401（Rwanda National Cyber Security Authority）
- cPanel EmailTrack SQL Injection (CVE-2026-67401) — CPAI-2026-11492（Check Point）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。