Das Advisory nennt gepatchte Builds in den Release-Linien 110, 134, 136 und 138. Ein Server lässt sich über WHM unter Home / cPanel / Upgrade to Latest Version aktualisieren; auf der Kommandozeile lautet die Anweisung von cPanel, sich als root anzumelden und /usr/local/cpanel/scripts/upcp –force auszuführen.
Unklar bleibt der technische Kern: cPanel erklärt nicht, wie aus einem SQL-Injection-Problem zunächst das Anlegen von Dateien und daraus schließlich Root-Zugriff wird. Auch eine Übergangsmaßnahme für Server, die nicht sofort aktualisiert werden können, fehlt. In seinem Advisory vom 30. Juli zu einer Datenbank-Schwachstelle hatte cPanel eine solche Möglichkeit noch genannt: Administratoren, die nicht aufrüsten konnten, sollten die MySQL-Funktion vorübergehend für cPanel-Benutzer entfernen.
Offen ist zudem der Status älterer Zweige. Die Linien 11.118 und 11.126 wurden in den Juli-Advisories gepatcht, seither aber nicht mehr aufgeführt; ob sie noch unterstützt werden, sagt cPanel nicht. Für die August-Lücke listet der CVE-Eintrag alle Versionen ab 11.112.0.0 bis ausschließlich 11.134.0.53 als betroffen – und keinen gepatchten Build in den Linien 118 oder 126. Ebenso wenig äußert sich cPanel dazu, ob ein Update einem bereits zuvor angegriffenen Server hilft oder wie Administratoren das prüfen könnten.
Ein Schweregrad steht im Advisory nicht. Die jüngsten cPanel-CVEs werden über HackerOne vergeben, die Bewertungen tauchen erst im CVE-Eintrag auf. Der Eintrag zur August-Lücke wurde am 1. September veröffentlicht, fünf Tage nach dem zugehörigen Advisory, und bewertet sie mit 8,7 von 10 nach CVSS – also hoch. Für CVE-2026-67401 lag am 9. September noch kein Eintrag vor, als The Hacker News den Datenbestand des CVE-Programms prüfte.
Öffentlicher Exploit-Code oder Berichte über eine Ausnutzung fanden sich bei Suchen am 9. September nicht, und in der am 8. September veröffentlichten Fassung von CISAs Katalog bekannter ausgenutzter Schwachstellen fehlt die Kennung. Ausschließen lässt sich eine Ausnutzung damit nicht: Eine andere cPanel-Lücke, ein im April ausgenutzter Authentifizierungs-Bypass, der gar kein Konto voraussetzte, steht in genau diesem Katalog – mit bekanntem Einsatz in Ransomware-Kampagnen. Zur Einordnung dieses Falls sagte die Sicherheitsfirma Hadrian damals, die Übernahme des Panels sei nicht dasselbe wie der Einbruch in die Website eines einzelnen Kunden, weil WHM dem Angreifer administrativen Root-Zugriff auf den Server verschaffe.
Seit Ende Juli wurden zwei weitere cPanel-Schwachstellen offengelegt, die ebenfalls bei einem gewöhnlichen Hosting-Konto ansetzen: die Datenbank-Lücke vom 30. Juli, über die ein Konto mit Zugriff auf die Datenbankfunktion Datenbankbefehle mit vollen Administratorrechten ausführen konnte, sowie eine am 27. August beschriebene Lücke im Domain-Parking, die wie die aktuelle in Codeausführung als root mündet. Repositories, die sich als funktionierende Exploits für diese beiden Lücken ausgeben, waren am 9. September online, als The Hacker News nachsah.
Als Melder nennt cPanel Ali Mustafa (rz1027) und abed1526. Der CVE-Eintrag zur August-Lücke führt denselben Namen Ali Mustafa. Weder die Advisories noch der Eintrag verbinden die beiden Schwachstellen mit demselben Code; klassifiziert werden sie unterschiedlich – Eval-Injection bei der August-Lücke, SQL-Injection laut cPanels eigenem Titel bei dieser.