[해외보안뉴스] cPanel 신규 취약점 발견… 일반 호스팅 계정으로 루트 권한 탈취 위험
· 2026-09-23 13:00
· 조회 20
· 원문 ↗
인기 웹 호스팅 제어판 솔루션인 cPanel에서 서버의 최고 권한을 탈취할 수 있는 심각한 보안 취약점이 발견되었습니다. cPanel의 CalDAV 및 CardDAV 서비스에 존재하는 이 결함은 일반 cPanel 호스팅 계정을 가진 공격자가 루트(root) 권한으로 임의 코드를 실행하고 서버 전체를 완벽하게 제어할 수 있도록 허용합니다.
이와 함께 워드프레스(WordPress) 사이트를 설치하고 관리하는 데 사용되는 WP Toolkit 플러그인에서도 또 다른 취약점이 확인되었습니다. 해당 취약점을 악용하면 계정 소유자가 동일한 서버 내 다른 호스팅 계정에 속한 데이터베이스를 무단으로 수정하거나 조작할 수 있어 다중 사용자 호스팅 환경 전체에 큰 영향을 미칠 수 있습니다.
cPanel 측은 두 취약점에 대한 보안 수정 조치를 완료하고 패치 버전을 배포했습니다. 영향받는 시스템을 운용 중인 서버 관리자 및 호스팅 제공업체는 악의적인 권한 상승 및 데이터 침해 사고를 방지하기 위해 cPanel과 WP Toolkit을 즉시 최신 버전으로 업데이트해야 합니다.
♥ 추천 0
호스팅 환경의 핵심인 멀티테넌시 격리 구조가 무너진 전형적인 권한 상승 및 접근 제어 결함 사례입니다. CalDAV 데몬의 권한 검증 미흡과 플러그인의 계정 간 DB 격리 실패는 시스템 전반에 '최소 권한 원칙(Principle of Least Privilege)'을 적용하는 것이 얼마나 중요한지 보여줍니다. 보안 패치 적용과 더불어, 백그라운드 서비스 데몬들이 과도한 권한(root)으로 실행되지 않도록 프로세스 격리 아키텍처를 재검토해야 합니다.
공유 호스팅 환경에서 저렴한 계정 하나만으로 루트 권한을 획득하는 LPE(권한 상승) 취약점은 공격자에게 최고의 시나리오입니다.
CalDAV/CardDAV 데몬을 통한 서버 탈취는 물론, WP Toolkit을 이용한 타 테넌트 DB 접근까지 가능해 침투 테스팅 관점에서는 서버 완전 장악과 횡적 이동(Lateral Movement)이 매우 용이했던 위험한 건입니다.
멀티테넌시(Multi-tenancy) 격리가 완전히 무너진 만큼, 호스팅 사업자는 공격자의 초기 침투 시도를 차단하기 위해 즉시 패치를 적용해야 합니다.
호스팅 환경 내 일반 계정의 Root 권한 획득 및 계정 간 격리 무력화는 조직의 서비스 연속성과 데이터 보호 거버넌스를 근본적으로 흔드는 치명적인 리스크입니다. 인프라 및 보안 운영팀은 공개된 패치를 '최우선(Critical)' 등급으로 즉시 적용하고, 외주 호스팅을 사용 중이라면 제공업체의 패치 이행 여부(SLA)를 철저히 검증해야 합니다. 아울러 플러그인 등 서드파티 솔루션에 대한 권한 제어와 멀티테넌시 환경의 격리 정책을 전면 재점검하여 선제적인 보안 통제를 강화하겠습니다.