重點整理
- cPanel 日曆服務漏洞可讓帳號取得主機最高控制權。
- WP Toolkit 漏洞允許使用者修改其他帳號的資料庫。
- 共享主機風險高，單一帳號受害可能波及同伺服器的所有網站。
- 官方已釋出修復版本，企業主需盡快聯繫主機代管商進行更新。
很多中小企業為了節省成本，會選擇將 WordPress 網站放在「共享主機」上，而這類主機大多使用 cPanel 來管理。近期資安圈爆出 cPanel 的嚴重漏洞，只要同主機上的任何一個帳號出問題，你的網站資料甚至整個主機都可能被完全控制。這篇文章帶你了解這次漏洞的影響，以及企業主現在該採取什麼行動。
這次 cPanel 漏洞到底有多嚴重？
這次 cPanel 總共公布了三個漏洞，主要影響日曆、聯絡人同步服務以及 WordPress 管理工具。我們用白話文來解釋它們的潛在風險：
- 取得主機最高控制權（Root 權限）：Root 就像是伺服器的「超級管理員」。第一個漏洞存在於 CalDAV 和 CardDAV（用來同步日曆和聯絡人的服務）中，只要擁有 cPanel 帳號，就能以 Root 身分執行程式碼，等於完全控制了整台伺服器。
- 偷改別人的網站資料庫：第二個漏洞發生在 WP Toolkit（用來安裝和管理 WordPress 的外掛）。它允許登入的使用者，去修改伺服器上「其他帳號」的資料庫，這可能會導致網站資料被篡改。
- 偷看別人的日曆與聯絡人：第三個漏洞同樣在日曆與聯絡人服務中，讓本機使用者可以讀取其他帳號的日曆事件和聯絡人資料，雖然不能修改，但仍有個資外洩風險。
哪些版本受影響？共享主機的隱藏風險
根據官方資訊，這三個漏洞主要影響 cPanel & WHM 120 版及之後的版本，以及 WP Toolkit 6.11.2-10794 及更早版本。
這裡必須特別提醒「共享主機」的風險。共享主機就像是一棟大樓裡的多間套房，雖然每個租客（網站帳號）有自己的門鎖，但大家共用同一個地基與管線。這次最嚴重的 Root 權限漏洞，只要同伺服器上的「任何一個客戶」利用這個漏洞，或是駭客取得了其中一個客戶的登入密碼，就能控制整台伺服器，進而影響大樓裡的所有網站。
官方已釋出更新，企業主該做什麼？
cPanel 官方已經發布了修復這些漏洞的更新版本。然而，大多數中小企業主並沒有伺服器的最高管理權限，無法自己登入後台去點擊更新。
因此，您現在最應該做的事情是：立即聯繫您的虛擬主機代管商或網頁設計廠商，確認他們是否已經將 cPanel 與 WP Toolkit 更新到安全版本。在官方公告中，目前並沒有提供「暫時不更新也能防護」的替代方案，所以盡早完成更新是唯一解方。
崴米的建議
面對層出不窮的資安威脅，中小企業不需要變成技術專家，但需要建立正確的防護觀念與後援機制。以下是我們給您的兩點建議：
- 主動確認主機環境安全：不要等到網站出問題才找人修。請主動向您的主機供應商確認目前的 cPanel 版本是否已修復近期的漏洞，並確保 WP Toolkit 等管理外掛都保持在最新狀態。
- 將專業交給專業，建立定期備份與監看機制：網站上線後，主機維護、安全更新與資料備份是持續性的工作。選擇有在主動監控主機狀態、協助處理底層更新的服務，能讓您把心力放回本業。
如果您希望網站上線後有專業團隊幫忙顧主機、處理安全更新與定期備份，歡迎了解我們的 網站代管維護與主機監看 服務，讓您的企業網站安全又穩定。
參考來源：New cPanel Flaw Lets a Hosting Account Run Code as Root, Take Full Server Control
