Im Zentrum des Updates steht CVE-2026-58048. Unter normalen Bedingungen unterstützt cPanel laut Hersteller nur Datenbankberechtigungen, die weder SUPER-Zugriff erfordern noch globale Änderungen erlauben. Genau diese Begrenzung werde durch die Schwachstelle umgangen, weil SQL im administrativen Kontext der Datenbank ausgeführt werde.
Die Ursache liegt im Prozess zum Umbenennen von Datenbanken. Der HackerOne-CNA-Eintrag beschreibt, dass beim Umbenennen einer Datenbank der SQL-Modus nicht erhalten bleibt, wodurch SQL im Root-Kontext ausgeführt wird. In der Datenbankdokumentation von cPanel heißt es, das System lege dabei eine Ersatzdatenbank an, verschiebe die ursprünglichen Daten, stelle Berechtigungen und gespeicherten Code wieder her und entferne anschließend die alte Datenbank samt ihrer Berechtigungen.
cPanel bezeichnet das Problem in seinem Sicherheitshinweis als Rechteausweitung. Der CNA-Eintrag klassifiziert dieselbe Schwachstelle dagegen als CWE-89, also SQL-Injection. Beide Beschreibungen beziehen sich auf dieselbe Lücke, setzen aber unterschiedliche Schwerpunkte. Weder der Sicherheitshinweis noch der CVE-Eintrag nennen den injizierten Eingabewert, den betroffenen SQL-Modus oder die genaue Nutzlast. Offen bleibt auch, ob Team-User-Unterkonten, also vom Kontoinhaber angelegte Anmeldungen mit eingeschränkten Rollen, als authentifizierte Kontoinhaber im Sinne der Beschreibung gelten, sofern sie Datenbankzugriff haben.
Wer nicht sofort aktualisieren kann, kann laut cPanel vorübergehend die MySQL-Funktion für cPanel-Nutzer entziehen. Bereits vorhandene Datenbanken laufen dann weiter, Nutzer können aber keine Datenbanken mehr anlegen oder löschen. Updates lassen sich über WHM einspielen oder mit dem von cPanel dokumentierten Befehl.
Ebenfalls behoben wurde CVE-2026-58047 mit einem CVSS-4.0-Wert von 5,6. Dabei handelt es sich um ein HTTP-Request-Smuggling-Problem in cpsrvd, dem Daemon hinter den Oberflächen von cPanel und WHM. Unter eingeschränkten Bedingungen kann ein nicht authentifizierter entfernter Angreifer Antworten manipulieren, die an andere Nutzer auf demselben Server ausgeliefert werden. Laut CNA-Eintrag können dadurch Zugangsdaten offengelegt werden.
Falls ein Patch hier warten muss, empfiehlt cPanel als Ausweichmaßnahme, die Wiederverwendung von Backend-Verbindungen zu deaktivieren. Dafür soll in /var/cpanel/cpanel.config der Wert cpsrvd_keepalives_disabled=1 gesetzt und cpsrvd neu gestartet werden. Nach Herstellerangaben erzwingt das für jede Anfrage auf den Ports 2083, 2087 und 2096 eine neue TCP- und TLS-Verbindung, was auf stark ausgelasteten Servern die Latenz erhöht und mehr CPU-Leistung kostet. cPanel schreibt die Meldung beider CVEs Vincent55 Yang zu.
Das dritte Advisory betrifft GCVE-25-2026-07-45-3 in Exim. Unter bestimmten Pipe-Transport-Konfigurationen kann die .forward-Datei eines lokalen Nutzers im Redirect-Router eine unsichere String-Erweiterung auslösen. In der Standardkonfiguration von cPanel erfolgt Erweiterung und Ausführung als cPanel-Nutzer, was laut Unternehmen eine Rechteausweitung aus Team-User-Unterkonten ermöglichen kann. Exim nennt als Voraussetzungen unter anderem einen Redirect-Router für .forward, einen erreichbaren Pipe-Transport, aktiviertes force_command auf diesem Transport sowie Ausführung als privilegierter Nutzer. Exim 4.99.5 entfernt die anfällige Erweiterung.
Exim 4.99.5 schließt zudem GCVE-25-2026-07-45-1, eine lokale Directory-Traversal-Schwachstelle mit hohem Schweregrad über Queue-Name-Kommandozeilenargumente. Laut Exim ermöglicht sie den Zugriff auf Dateien außerhalb des Spool-Bereichs und kann zur Rechteausweitung genutzt werden.
Auffällig ist ein Widerspruch in den cPanel-Hinweisen zu den korrigierten Builds. Das Advisory zur Datenbanklücke nennt Build 11.118.0.71 als gepatchte Version. Die gleichzeitig veröffentlichten Hinweise zur Request-Smuggling-Lücke und zu Exim führen den Zweig 11.118 dagegen gar nicht auf. Wer diese Branch einsetzt, sollte daher die installierte Punktversion mit dem Datenbank-Advisory abgleichen, statt sich auf die kürzeren Listen zu verlassen. In den beiden Exim-Hinweisen wird kein Forscher namentlich genannt; als Urheber werden dort „die ungenannten und nicht gewürdigten Autoren, deren Arbeiten als Trainingskorpus aufgenommen wurden“ aufgeführt.