Celah cPanel Multilang Adminbin Bisa Jalankan Perintah Root

Kalau kamu mengelola server cPanel & WHM, pastikan versinya sudah melewati build perbaikan akhir September 2026. Celah CVE-2026-93698 di komponen Multilang adminbin bisa dipakai untuk menjalankan perintah sembarang, dan perintah itu berjalan sebagai root.

Kenapa ini penting? Di server hosting bersama, satu server bisa berisi ratusan akun cPanel milik orang yang berbeda. Celah yang mengubah akses akun biasa menjadi akses root berarti satu akun bermasalah bisa membuka seluruh server, termasuk website dan email pelanggan lain.

Apa yang diumumkan cPanel?

cPanel mengungkap tiga celah cPanel & WHM pada 29 September 2026. Record CVE-nya terbit pada 2 Oktober 2026, dan liputannya menyebar di media keamanan sejak awal Oktober.

CVE-2026-93698 adalah yang paling parah. Deskripsi resminya singkat: validasi yang kurang memungkinkan perintah sembarang dijalankan lewat Multilang adminbin. Kelasnya CWE-78, OS command injection. Adminbin sendiri adalah mekanisme cPanel untuk menjalankan tugas tertentu dengan hak lebih tinggi atas permintaan akun pengguna, sehingga celah di sini langsung menyentuh hak root.

Skor CVSS 3.0 yang tercatat di record CVE adalah 9.9 (Critical), dengan sumber skor HackerOne sebagai CNA. Vektornya menunjukkan serangan lewat jaringan, kompleksitas rendah, butuh hak akses rendah, tanpa interaksi pengguna, dan scope berubah. Bagian "hak akses rendah" itu penting. Artinya penyerang perlu punya akun dengan level rendah lebih dulu, bukan pengunjung anonim dari internet. Cara membaca vektor semacam ini dibahas di panduan membaca skor CVSS.

Dua celah lain diumumkan bersamaan, keduanya stored XSS di antarmuka WHM:

• CVE-2026-93029 di halaman Manage SSL Hosts.
• CVE-2026-93697 di antarmuka modifikasi akun (Mass Modify Accounts).

Pola keduanya mirip. Pemilik akun cPanel tanpa hak khusus bisa menyimpan skrip berbahaya, lalu skrip itu berjalan ketika administrator WHM membuka halaman tersebut. Hasilnya, skrip bekerja di dalam sesi admin yang sedang login.

Versi mana yang sudah aman?

Semua versi yang masih didukung terdampak sampai build perbaikan berikut. Daftar ini sama untuk ketiga CVE.

Versi yang lebih baru dari angka di atas juga sudah membawa perbaikannya. Cyberpress menyarankan langsung naik ke rilis terbaru, bukan berhenti di build minimal.

Sudah dieksploitasi atau belum?

Per liputan awal Oktober 2026, cPanel belum mengonfirmasi eksploitasi aktif, dan Cyber Security News mencatat belum ada kode proof of concept publik di sumber pelacakan celah saat itu. Per 12 November 2026, CVE-2026-93698 juga belum tercantum di katalog KEV CISA.

Meski begitu, jangan jadikan ini alasan menunda. Detail teknis yang sudah terbit biasanya menarik minat penyerang untuk membandingkan versi lama dan baru, lalu menyusun eksploit sendiri. Pengalaman dengan celah cPanel sebelumnya menunjukkan hal ini nyata. CVE-2026-41940, celah bypass autentikasi cPanel & WHM yang ditambal pada April 2026, masuk katalog KEV CISA pada 30 April 2026 dan menurut Greenbone sudah dipakai sebagai zero-day sejak Februari. Server yang belum ditambal masih terus dicari.

Cara mengecek dan memperbarui server

Pertama, lihat versi yang terpasang. Login SSH sebagai root, lalu jalankan:

/usr/local/cpanel/cpanel -V

Bandingkan hasilnya dengan tabel di atas sesuai jalur versimu. Versi juga terlihat di pojok kanan atas WHM.

Kalau masih di bawah build perbaikan, jalankan pembaruan:

/usr/local/cpanel/scripts/upcp

Lewat antarmuka, menunya ada di WHM bagian cPanel, pilih Upgrade to Latest Version. Setelah selesai, cek ulang versinya. Bila pembaruan otomatis selama ini dimatikan, periksa juga pengaturan Update Preferences agar server tidak tertinggal lagi pada rilis berikutnya.

Langkah lanjutan yang disarankan media yang meliput (Cyber Security News dan Cyberpress) antara lain:

• Tinjau aktivitas administrator WHM, perubahan akun, dan log autentikasi.
• Cari user berhak tinggi yang baru dibuat, cron job yang tidak dikenal, dan perubahan pengaturan server yang tidak terduga.
• Batasi akses WHM lewat firewall, VPN, atau allowlist IP, dan aktifkan autentikasi dua faktor.
• Kurangi jumlah akun yang punya hak setingkat WHM.

Apa yang bisa dilakukan selain menambal?

Bagian ini adalah pendapat kami, bukan saran resmi dari cPanel.

Karena CVE-2026-93698 butuh akun dengan hak rendah, risiko terbesar ada di server yang memberi akun cPanel ke banyak pihak: hosting bersama, reseller, atau agensi yang membagikan akses ke klien. Di server seperti itu, akun yang password-nya bocor atau dibuat lewat proses pendaftaran otomatis bisa menjadi titik awal. Masuk akal untuk memeriksa akun yang lama tidak dipakai, menonaktifkan yang tidak perlu, dan memastikan password akun cPanel kuat.

Untuk dua celah XSS, administrator bisa sedikit lebih berhati-hati saat membuka halaman Manage SSL Hosts dan modifikasi akun sebelum server diperbarui. Ini hanya mengurangi peluang, bukan pengganti patch.

Kalau kamu ingin menata ulang keamanan panel secara menyeluruh, mulai dari akses root, firewall, sampai 2FA, langkahnya ada di cara mengamankan cPanel dan WHM dari peretas. Untuk menentukan urutan tambalan ketika beberapa celah datang bersamaan, lihat panduan katalog KEV CISA untuk prioritas patch.

Ringkasnya untuk pemilik server

Cek versi, perbarui, lalu periksa log. Tiga langkah itu menutup ketiga celah sekaligus. Bagi pengguna hosting yang tidak memegang akses root, cukup tanyakan ke penyedia apakah server sudah berada di build perbaikan September 2026.