# Panel hosting bị hack 2024–2026: chuyện gì đã xảy ra và bài học rút ra

> Dòng thời gian các vụ panel hosting bị hack 2024–2026 (cPanel, CyberPanel, CWP, Plesk, HestiaCP, aaPanel), có nguồn, kèm điểm chung và checklist phòng thủ.

Source: https://zopanel.net/vi/blog/hosting-panel-security-incidents  
Updated: 2026-10-21

## Ý chính

- Từ 2024 đến 2026, gần như mọi panel hosting phổ biến đều có lỗ hổng nghiêm trọng, nhiều lỗ hổng bị khai thác hàng loạt trước hoặc ngay sau khi có bản vá.
- Đa số là lỗi chèn lệnh hoặc vượt qua đăng nhập trong đoạn code chạy bằng root, nên một lỗi là mất cả server.
- Chỉ cho phép IP của bạn vào cổng quản trị là đủ chặn mọi đòn tấn công không cần đăng nhập trong bảng dưới đây từ internet.
- Tách quyền giới hạn được phạm vi thiệt hại, nhưng không thay thế được việc cập nhật nhanh, 2FA và backup ngoài server.

Từ 2024 đến 2026, các lỗ hổng nghiêm trọng đã được tìm thấy trong cPanel & WHM, CyberPanel, Control Web Panel (CWP), Plesk, HestiaCP, Webmin và aaPanel. Những vụ nặng nhất đã bị khai thác thật: tháng 10/2024, hàng loạt server CyberPanel bị mã độc tống tiền PSAUX mã hoá dữ liệu, còn lỗi vượt qua đăng nhập cPanel CVE-2026-41940 bị lợi dụng khoảng hai tháng trước khi có bản vá cuối tháng 4/2026. Gần như tất cả là lỗi chèn lệnh hoặc vượt qua xác thực trong code chạy bằng root, và gần như tất cả đều cần cổng quản trị của panel mở ra internet.

Bài viết liệt kê các sự cố đã được xác minh, kèm nguồn gốc, phân tích điểm chung, và đưa ra checklist phòng thủ dùng được cho mọi panel, kể cả panel của chúng tôi. ZoPanel cũng là phần mềm và cũng sẽ có lỗi; điều quan trọng là chuẩn bị sẵn cho tình huống đó.

## Dòng thời gian: các lỗ hổng control panel hosting lớn, 2024–2026

Chúng tôi chỉ đưa vào những mục xác nhận được trên [NVD](https://nvd.nist.gov/), trong [danh mục lỗ hổng đang bị khai thác (KEV) của CISA](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) hoặc trong thông báo của nhà phát triển. "Không cần đăng nhập" nghĩa là kẻ tấn công không cần tài khoản nào trên panel.

| Thời điểm | Panel | CVE | Loại lỗi | Không cần đăng nhập? | Hậu quả | Bản sửa | Bị khai thác (KEV) |
|---|---|---|---|---|---|---|---|
| 10/2024 | CyberPanel 2.3.6, 2.3.7 | [CVE-2024-51567](https://nvd.nist.gov/vuln/detail/CVE-2024-51567), [CVE-2024-51378](https://nvd.nist.gov/vuln/detail/CVE-2024-51378) | Lớp kiểm tra chỉ áp dụng cho POST, sau đó chèn ký tự shell vào `statusfile` | Có | Chạy lệnh bằng root | Commit vá, áp dụng qua chức năng upgrade | Có, 11 và 12/2024, tống tiền |
| 12/2024 | Webmin | [CVE-2024-12828](https://nvd.nist.gov/vuln/detail/CVE-2024-12828) | Chèn lệnh qua CGI | Không (cần tài khoản quyền thấp) | Chạy code bằng root | Bản cập nhật ([ZDI-24-1725](https://www.zerodayinitiative.com/advisories/ZDI-24-1725/)) | Không |
| 09/2025 | CWP trước 0.9.8.1205 | [CVE-2025-48703](https://nvd.nist.gov/vuln/detail/CVE-2025-48703) | Chèn lệnh trong `changePerm` của trình quản lý file | Có, nhưng cần biết một username không phải root | Thực thi code từ xa | 0.9.8.1205 | Có, 11/2025 |
| 12/2025 | Plesk cho Linux | [CVE-2025-66431](https://nvd.nist.gov/vuln/detail/CVE-2025-66431) | Lỗi trong cơ chế tạo domain | Không (user có quyền quản lý site) | Chạy code bằng root | 18.0.73.5, 18.0.74.2 | Không |
| 03/2026 | aaPanel 7.57.0 | [CVE-2026-29859](https://nvd.nist.gov/vuln/detail/CVE-2026-29859) | Upload file tuỳ ý | Có, theo CVSS (PR:N) | Thực thi code (CVSS 9.8) | Cập nhật bản mới hơn | Không |
| 04/2026 | cPanel & WHM sau 11.40 | [CVE-2026-41940](https://nvd.nist.gov/vuln/detail/CVE-2026-41940) | Chèn CRLF vào file session khi đăng nhập | Có | Phiên WHM cấp root | Các build vá từ 28/4/2026 | Có, 30/4/2026, tống tiền |
| 05/2026 | HestiaCP 1.9.0–1.9.4 | [CVE-2026-43633](https://nvd.nist.gov/vuln/detail/CVE-2026-43633) | Lỗi giải tuần tự hoá (deserialization) trong web terminal | Có (khi bật web terminal) | Chạy code bằng root | 1.9.5 | Không |
| 05/2026 | Plugin LiteSpeed cho cPanel | [CVE-2026-48172](https://nvd.nist.gov/vuln/detail/CVE-2026-48172) | Leo thang đặc quyền trong plugin phía người dùng | Không (mọi user cPanel) | Chạy script bằng root | Plugin 2.4.5 | Có, 05/2026 |
| 08/2026 | Plesk trước 18.0.80 | [CVE-2026-64637](https://nvd.nist.gov/vuln/detail/CVE-2026-64637) | Quản lý quyền sai trong XML-RPC API | Không (đại lý) | Phiên quản trị của tài khoản root | 18.0.80 | Không |
| 08/2026 | CyberPanel trước 3.0.0 | [CVE-2026-67614](https://nvd.nist.gov/vuln/detail/CVE-2026-67614) | Khoá bí mật JWT viết cứng trong web terminal | Có | Shell root tương tác | 3.0.0 | Không |
| 10/2026 | HestiaCP 1.9.7–1.10.4 | [CVE-2026-108390](https://nvd.nist.gov/vuln/detail/CVE-2026-108390) | Dấu nháy không được escape, cho phép chèn `PATH` vào script chạy root | Không (user panel có web domain) | Chạy code bằng root | 1.10.5 | Không |

Cột "Bị khai thác (KEV)" theo danh mục KEV ngày 20/10/2026. "Không" nghĩa là chưa có trong KEV, không có nghĩa là chắc chắn chưa ai khai thác. Thêm bối cảnh: CWP đã nằm trong KEV từ tháng 1/2023 vì [CVE-2022-44877](https://nvd.nist.gov/vuln/detail/CVE-2022-44877), một lỗi chèn lệnh không cần đăng nhập ở trang login, nên CVE-2025-48703 là lần thứ hai cùng loại lỗi bị khai thác trên panel này.

### Hai sự cố gây thiệt hại lớn nhất

**CyberPanel, tháng 10/2024.** Các nhà nghiên cứu công bố hai lỗi không cần đăng nhập vài ngày sau khi nhóm phát triển commit bản vá, nhưng khi đó chưa có bản phát hành mới hay mã CVE. Theo [Help Net Security](https://www.helpnetsecurity.com/2024/10/30/vulnerable-cyberpanel-psaux-ransomware/), LeakIX đếm được khoảng 22.000 server có lỗ hổng lộ ra internet vào thứ Hai, và chỉ còn khoảng 400 vào hôm sau, sau khi kẻ tấn công đã mã hoá server bằng PSAUX và các mã độc tống tiền khác. CISA ghi nhận cả hai CVE có liên quan đến chiến dịch ransomware.

**cPanel & WHM, tháng 4/2026.** WebPros công bố cảnh báo và bản vá ngày 28/4/2026. Theo [Help Net Security](https://www.helpnetsecurity.com/2026/04/30/cpanel-zero-day-vulnerability-cve-2026-41940-exploited/), lỗ hổng đã bị khai thác ít nhất từ 23/2, và Shadowserver đếm được khoảng 650.000 IP có cPanel/WHM lộ ra internet. [Phân tích của watchTowr](https://labs.watchtowr.com/the-internet-is-falling-down-falling-down-falling-down-cpanel-whm-authentication-bypass-cve-2026-41940/) chỉ ra nguyên nhân: giá trị mật khẩu được ghi vào file session mà không loại bỏ ký tự xuống dòng, nên kẻ tấn công có thể thêm dòng khiến server bỏ qua bước kiểm tra mật khẩu. Các build đã vá gồm 11.110.0.97, 11.118.0.63, 11.126.0.54, 11.132.0.29, 11.134.0.20 và 11.136.0.5. Khuyến nghị tạm thời là chặn các cổng 2083, 2087, 2095 và 2096 cho đến khi vá xong.

### Còn những panel ít lên báo hơn?

Trong danh mục KEV (20/10/2026), chúng tôi không thấy mục nào cho Plesk, DirectAdmin, HestiaCP hay aaPanel, còn Webmin chỉ có một mục từ 2019 ([CVE-2019-15107](https://nvd.nist.gov/vuln/detail/CVE-2019-15107)). Điều đó không có nghĩa các panel này không có lỗi. NVD liệt kê cả loạt CVE năm 2026 của Plesk cho phép user đã đăng nhập leo lên root, HestiaCP đã sửa nhiều lỗi "user panel lên root", và NVD có thêm các báo cáo lỗi chèn lệnh mới cho aaPanel và BaoTa (bản tiếng Trung, tức Bảo Tháp) trong tháng 9 và 10/2026. Ít mục trong KEV có thể phản ánh việc ít server lộ ra internet hoặc ít bị kẻ tấn công chú ý, chứ không chỉ là code tốt hơn.

## Điểm chung của các sự cố

Đọc lại bảng trên, bạn sẽ thấy 5 điểm lặp lại.

### 1. Code web của panel chạy bằng root

Gần như dòng nào trong cột hậu quả cũng có chữ "root". Khi tiến trình xử lý request HTTP là root, hoặc gọi được lệnh root mà ít bị kiểm tra, mọi lỗi trong đoạn code đó đều thành mất toàn bộ server: mọi website, mọi database, mọi hộp thư, và cả bản backup nằm trên cùng ổ đĩa.

### 2. Chèn lệnh vẫn là loại lỗi số một

CyberPanel, CWP (hai lần), Webmin, HestiaCP, Plesk và các báo cáo về aaPanel đều có chung một kiểu: dữ liệu người dùng lọt vào shell. Cách sửa đã rõ: không bao giờ ghép lệnh shell từ dữ liệu đầu vào, mà chạy chương trình trực tiếp với danh sách tham số cố định. Nhưng việc này đòi hỏi kỷ luật trên hàng nghìn đoạn code, nên lỗi vẫn quay lại.

### 3. Code đăng nhập và session là cửa chính

Lỗi vượt qua đăng nhập của cPanel, lớp kiểm tra chỉ áp dụng cho POST của CyberPanel, khoá JWT viết cứng của CyberPanel, và lỗi [giả mạo IP qua CF-Connecting-IP của HestiaCP](https://nvd.nist.gov/vuln/detail/CVE-2026-43634) đều nhắm vào phần code quyết định ai đã đăng nhập. Web terminal cần được chú ý riêng: cả HestiaCP và CyberPanel đều có lỗi lên root không cần đăng nhập nằm ngay trong web terminal.

### 4. Cổng quản trị mở cho cả internet

Muốn khai thác hàng loạt thì phải có hàng loạt server lộ ra. Hàng chục nghìn server CyberPanel và hàng trăm nghìn server cPanel trả lời trên cổng quản trị. Một rule tường lửa chỉ cho phép IP của bạn là đủ chặn mọi đòn tấn công không cần đăng nhập trong bảng, khi đến từ internet.

### 5. Bản vá đến muộn, hoặc đến lặng lẽ

cPanel bị khai thác khoảng hai tháng trước khi có bản vá. Bản sửa của CyberPanel ban đầu chỉ là commit, chưa có bản phát hành hay CVE. Với các báo cáo về BaoTa tháng 9/2026, hồ sơ trên NVD ghi rằng nhà phát triển không phản hồi người báo lỗi. Còn phía người dùng, nhiều server chạy bản cũ hàng tháng trời vì không ai theo dõi cập nhật.

## Checklist phòng thủ cho mọi panel hosting

Những việc dưới đây không phụ thuộc bạn dùng panel nào.

| Biện pháp | Chặn được gì | Cách làm |
|---|---|---|
| Chỉ cho IP của bạn hoặc VPN vào cổng quản trị | Mọi lỗi không cần đăng nhập từ internet | Rule tường lửa, danh sách IP được phép của panel, hoặc SSH tunnel |
| Bật xác thực hai lớp cho mọi admin và đại lý | Mật khẩu bị lộ hoặc bị dò | App TOTP, lưu mã khôi phục |
| Cập nhật tự động hoặc ngay trong ngày | Lỗi đã biết sau khi có bản vá | Bật auto update, theo dõi thông báo bảo mật của nhà phát triển |
| Backup ngoài server và đã thử khôi phục | Ransomware, server bị xoá sạch | Chép sang S3 hoặc server khác với thông tin đăng nhập riêng |
| Giám sát và cảnh báo | Bị xâm nhập mà không biết | Cảnh báo khi có đăng nhập admin lạ, user UID 0 mới, cron mới, CPU tăng vọt |
| Tắt những gì không dùng | Lỗi trong tính năng bạn không cần | Web terminal, plugin thừa, phpMyAdmin công khai |
| Ít API token, phạm vi hẹp | Lộ thông tin đăng nhập tự động hoá | Mỗi việc một token, giới hạn IP, có hạn dùng |

Rule tường lửa là quan trọng nhất. Trên Ubuntu với UFW, thay `PORT` bằng cổng panel của bạn:

```bash
sudo ufw allow from 203.0.113.7 to any port PORT proto tcp
sudo ufw deny PORT/tcp
```

Nếu IP nhà mạng của bạn hay đổi, hãy dùng SSH tunnel: `ssh -L 8443:127.0.0.1:PORT user@server`, rồi mở `https://127.0.0.1:8443`. Phần bảo mật cơ bản quanh panel có trong bài [bảo mật VPS Ubuntu](/vi/blog/secure-ubuntu-vps) và [chiến lược backup website](/vi/blog/website-backup-strategy).

## Tách quyền giới hạn phạm vi thiệt hại như thế nào?

Tách quyền (privilege separation) nghĩa là phần code nói chuyện với internet không nắm quyền root. Trong ZoPanel, giao diện web chạy bằng user `zopanel` không có đặc quyền, với các giới hạn của systemd. Việc cần root được chuyển cho một agent riêng, chỉ nhận một danh sách hành động cố định, kiểm tra lại mọi tham số và không bao giờ đưa dữ liệu người dùng vào shell ([tài liệu bảo mật](/vi/docs/security)). Mỗi tài khoản hosting là một Linux user riêng, có pool PHP-FPM riêng và một systemd slice với giới hạn CPU, RAM, số tiến trình.

Áp vào bảng trên:

- **Chèn lệnh ở tầng web** (CyberPanel 2024, CWP, Webmin): code chạy bằng user panel không có đặc quyền, và phía root không có shell nào để chèn.
- **Khách hàng leo lên root** (Plesk, HestiaCP, plugin LiteSpeed): tiến trình của khách chạy bằng chính user của khách trong slice riêng, và agent root kiểm tra lại mọi yêu cầu.
- **Vượt qua đăng nhập để có phiên admin** (cPanel 2026): tách quyền giúp ít hơn nhiều. Kẻ tấn công đăng nhập được với vai trò admin thì làm được mọi thứ admin làm được. Lúc này chỉ có danh sách IP được phép, 2FA và cập nhật nhanh mới cứu được.

Điểm cuối là giới hạn thật sự, cần nói thẳng. Kiến trúc thu nhỏ thiệt hại của nhiều loại lỗi, nhưng không làm panel thành bất khả xâm phạm. Thiết kế đầy đủ có trong bài [vì sao control panel không nên chạy bằng root](/vi/blog/secure-hosting-panel-architecture).

## ZoPanel cũng là phần mềm

Chúng tôi cũng sẽ có lỗi. Điều chúng tôi làm được là thu hẹp phạm vi mỗi lỗi chạm tới và sửa nhanh. Bản 0.4.22 ngày 15/10/2026 gồm các [bản gia cố sau một đợt đánh giá bảo mật độc lập](/vi/changelog). Bản cập nhật được ký bằng Ed25519 và tự rollback nếu không qua bước kiểm tra sức khoẻ ([cập nhật](/vi/docs/updating)), nhưng **cập nhật tự động mặc định đang tắt**, nên bạn hãy bật lên. Trình cài đặt mở cổng panel 8888 trên UFW; hãy giới hạn IP truy cập panel tại **Settings → General → Restrict panel access**. Bạn có thể báo lỗ hổng theo [chính sách bảo mật](/vi/legal/security) của chúng tôi. Tổng quan các lớp bảo vệ có ở [trang tính năng bảo mật](/vi/features/security).

## Kết luận

Các sự cố 2024–2026 đi theo cùng một kịch bản: một lỗi chèn lệnh hoặc lỗi đăng nhập trong code panel chạy bằng root, cổng quản trị mở cho cả thế giới, và bản vá đến muộn hoặc được cài muộn. Bạn có thể phá kịch bản đó ngay hôm nay trên bất kỳ panel nào: giới hạn IP, bật 2FA, cập nhật nhanh và backup ngoài server. Khi chọn panel tiếp theo, hãy hỏi thêm: một lỗi duy nhất trong giao diện web của nó chạm tới được những gì?

Nếu muốn xem tách quyền vận hành thực tế, [gói Free của ZoPanel](/vi/pricing) cho 3 tài khoản hosting, 10 website và 10 database, không giới hạn thời gian.

## Câu hỏi thường gặp

### CyberPanel có từng bị hack không?

Có. Tháng 10/2024, các server CyberPanel 2.3.6 và 2.3.7 chưa vá bị khai thác hàng loạt qua CVE-2024-51567 và CVE-2024-51378, rồi bị mã hoá bằng PSAUX và các mã độc tống tiền khác. Năm 2026 có thêm lỗi mới, trong đó CVE-2026-67614 cho shell root mà không cần đăng nhập, đã sửa trong CyberPanel 3.0.0. Hãy cập nhật bản mới nhất và giới hạn IP vào cổng 8090.

### Lỗ hổng cPanel năm 2026 là gì?

CVE-2026-41940 là lỗi vượt qua xác thực trong luồng đăng nhập cPanel & WHM, điểm CVSS 9.8. Kẻ tấn công có được phiên WHM cấp root mà không cần mật khẩu. Lỗi bị khai thác ít nhất từ tháng 2/2026, được vá ngày 28/4/2026 và được CISA đưa vào KEV ngày 30/4, có ghi nhận liên quan ransomware.

### Panel hosting nào an toàn nhất?

Không panel nào không có lỗi; panel lớn nào cũng xuất hiện trong bảng trên. Hãy so sánh cách chúng giới hạn thiệt hại: giao diện web có chạy bằng root không, khách hàng được cách ly ra sao, bản cập nhật được xác minh thế nào, và nhà phát triển ra bản vá, thông báo nhanh đến đâu. Sau đó cấu hình panel bạn chọn với danh sách IP được phép và 2FA.

### Có nên mở cổng panel ra internet không?

Nên tránh. Chỉ cho phép IP văn phòng, nhà riêng hoặc VPN, hoặc vào panel qua SSH tunnel. Nếu khách hàng cần đăng nhập, có thể cấp cho họ dải IP cố định hoặc VPN; nếu không làm được, ít nhất hãy bắt buộc 2FA và cập nhật ngay trong ngày.

### Làm sao biết panel của mình đã bị hack?

Hãy tìm admin lạ, tài khoản UID 0 thừa (`awk -F: '$3==0' /etc/passwd`), cron job mới, tiến trình lạ ngốn CPU, và file bạn không hề upload trong thư mục web. Sau sự cố, nhà phát triển thường công bố script kiểm tra dấu hiệu xâm nhập, như WebPros đã làm với CVE-2026-41940. Nếu thấy dấu hiệu, hãy khôi phục từ backup ngoài server lên một server sạch thay vì dọn dẹp tại chỗ.