# CyberPanel có an toàn không? Lịch sử lỗ hổng, cách kiểm tra và gia cố năm 2026

> CyberPanel có an toàn không năm 2026? Các CVE từ đợt ransomware 2024 đến 2026, cách kiểm tra server bị xâm nhập và cách gia cố nếu tiếp tục dùng.

Source: https://zopanel.net/vi/blog/is-cyberpanel-safe  
Updated: 2026-10-21

## Ý chính

- Năm 2026 CyberPanel chỉ an toàn khi bạn luôn chạy bản 3.0.x mới nhất và không mở cổng của nó ra toàn internet.
- Tháng 10/2024, lỗ hổng cho phép chạy lệnh root mà không cần đăng nhập bị khai thác hàng loạt, khoảng 22.000 server bị ảnh hưởng, chủ yếu bởi ransomware PSAUX.
- Năm 2026 tiếp tục có lỗ hổng nghiêm trọng, trong đó có khoá bí mật cứng trong Web Terminal cho phép lấy shell root không cần đăng nhập ở các bản trước 3.0.0.
- Hãy kiểm tra server cũ tìm file tống tiền, SSH key lạ và request tới các endpoint bị khai thác; server đã bị xâm nhập thì dựng lại, đừng cố dọn.

CyberPanel có an toàn không? Năm 2026, bạn có thể dùng CyberPanel an toàn nếu luôn cập nhật bản mới nhất (3.0.8 tại thời điểm viết bài, tháng 10/2026) và không bao giờ mở cổng quản trị 8090 hay cổng Web Terminal 8888 cho cả internet. Lịch sử của nó cho thấy vì sao cả hai điều kiện đều quan trọng: tháng 10/2024, lỗ hổng không cần đăng nhập đã trao quyền root trên khoảng 22.000 server, và năm 2026 lại có thêm nhiều lỗi nghiêm trọng được công bố và vá, trong đó có lỗi cho phép lấy shell root mà không cần tài khoản. Đội phát triển CyberPanel vá lỗi nhanh, nhưng panel chạy với quyền root, nên mỗi lỗi của panel là lỗi của cả server.

Bài viết này đi qua từng sự cố với nguồn gốc (NVD, CISA, changelog và advisory của chính CyberPanel), sau đó hướng dẫn kiểm tra server CyberPanel có bị xâm nhập không, cách gia cố nếu bạn ở lại, và khi nào nên chuyển đi. Nếu bạn đã quyết định rời CyberPanel, bài [thay thế CyberPanel](/vi/blog/cyberpanel-alternative) so sánh 6 panel và hướng dẫn chuyển website chi tiết.

## Lỗ hổng RCE tháng 10/2024 và làn sóng ransomware PSAUX

Ba CVE tháng 10/2024 là lý do phần lớn mọi người tìm câu hỏi này.

- **CVE-2024-51567** và **CVE-2024-51378**: các endpoint `upgrademysqlstatus`, `getresetstatus` của DNS và FTP có thể gọi mà không cần đăng nhập, vì lớp middleware bảo mật chỉ kiểm tra request POST; giá trị `statusfile` chứa ký tự đặc biệt của shell sẽ được chạy thành lệnh. NVD chấm cả hai 9.8 (đơn vị cấp CVE chấm 10.0), ảnh hưởng các bản tới 2.3.6 và bản 2.3.7 chưa vá ([NVD CVE-2024-51567](https://nvd.nist.gov/vuln/detail/CVE-2024-51567), [NVD CVE-2024-51378](https://nvd.nist.gov/vuln/detail/CVE-2024-51378)).
- **CVE-2024-51568**: chèn lệnh không cần đăng nhập qua chức năng upload của file manager, ở các bản trước 2.3.5 ([NVD](https://nvd.nist.gov/vuln/detail/CVE-2024-51568)).

Theo [SecurityWeek](https://www.securityweek.com/cyberpanel-vulnerabilities-exploited-in-ransomware-attacks-shortly-after-disclosure/), nhà nghiên cứu DreyAnd báo lỗi cho CyberPanel, bản vá được tạo ngày 23/10/2024, và chi tiết kỹ thuật kèm mã khai thác mẫu được công bố ngày 27/10. LeakIX đếm được khoảng 22.000 server lộ ra internet ngày 28/10; một ngày sau chỉ còn vài trăm server truy cập được. [Help Net Security](https://www.helpnetsecurity.com/2024/10/30/vulnerable-cyberpanel-psaux-ransomware/) cho biết file bị mã hoá có đuôi `.psaux`, ngoài ra còn thấy các biến thể `.encryp` và `.locked`, và LeakIX đã phát hành công cụ giải mã cho PSAUX. Có tới ba nhóm cùng tấn công các server này, một số còn cài cả phần mềm đào tiền ảo.

CISA đưa CVE-2024-51567 vào [danh mục lỗ hổng đang bị khai thác (KEV)](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) ngày 07/11/2024 và CVE-2024-51378 ngày 04/12/2024. CyberPanel cho biết họ ra bản vá trong vòng 30 phút sau khi nhận báo cáo ([thông báo của hãng](https://cyberpanel.net/blog/detials-and-fix-of-recent-security-issue-and-patch-of-cyberpanel)), và [changelog](https://cyberpanel.net/KnowledgeBase/home/change-logs/) ghi **2.3.8 (01/11/2024)** là bản bảo mật vá CVE-2024-51567 và CVE-2024-51378.

Vấn đề không nằm ở tốc độ vá. Như Help Net Security ghi nhận, bản sửa ban đầu được đưa vào mã nguồn mà không đổi số phiên bản, nên 2.3.7 vẫn có lỗ hổng cho tới khi chủ server tự chạy nâng cấp, và nhiều người không biết mình đang bị lộ. Các cuộc tấn công cũng chỉ chạm được tới những server để cổng panel mở cho cả internet.

## Các CVE của CyberPanel năm 2025 và 2026

Chúng tôi tra NVD mọi CVE có nhắc tới CyberPanel. Nhiều bản ghi năm 2026 đang ở trạng thái "Deferred" trên NVD, nên điểm số dưới đây là của đơn vị cấp CVE (chủ yếu là VulnCheck). Bảng chỉ liệt kê những gì NVD hoặc advisory của hãng xác nhận.

| CVE | Công bố | Vá ở bản | Cho phép làm gì | Điểm |
| --- | --- | --- | --- | --- |
| [CVE-2024-51567](https://nvd.nist.gov/vuln/detail/CVE-2024-51567) | 10/2024 | 2.3.8 | Chạy lệnh root không cần đăng nhập; đã bị khai thác, có trong CISA KEV | 9.8 (NVD) |
| [CVE-2024-51378](https://nvd.nist.gov/vuln/detail/CVE-2024-51378) | 10/2024 | 2.3.8 | Tương tự, qua endpoint reset của DNS/FTP; đã bị khai thác, có trong CISA KEV | 9.8 (NVD) |
| [CVE-2024-51568](https://nvd.nist.gov/vuln/detail/CVE-2024-51568) | 10/2024 | 2.3.5 | Chèn lệnh không cần đăng nhập qua upload của file manager | 9.8 (NVD) |
| [CVE-2024-53376](https://nvd.nist.gov/vuln/detail/CVE-2024-53376) | 12/2024 | 2.3.8 | User đã đăng nhập chạy lệnh qua trường chọn PHP | 8.8 |
| [CVE-2026-41473](https://nvd.nist.gov/vuln/detail/CVE-2026-41473) | 04/2026 | 2.4.5 | Ghi dữ liệu vào database không cần đăng nhập qua endpoint AI Scanner | 9.1 (NVD) |
| [CVE-2026-71965](https://nvd.nist.gov/vuln/detail/CVE-2026-71965) | 08/2026 | sau 2.4.3 | User đã đăng nhập ghi SSH key vào `/root/.ssh/authorized_keys` qua tính năng backup từ xa | 8.8 |
| [CVE-2026-67614](https://nvd.nist.gov/vuln/detail/CVE-2026-67614) | 08/2026 | 3.0.0 | Khoá JWT cứng trong Web Terminal: lấy shell root không cần đăng nhập qua cổng 8888 | 9.8 |
| [CVE-2026-67613](https://nvd.nist.gov/vuln/detail/CVE-2026-67613) | 08/2026 | 3.0.0 | Admin đọc được mọi file mà tiến trình panel (chạy quyền root) đọc được | 4.9 |
| [CVE-2026-87820](https://nvd.nist.gov/vuln/detail/CVE-2026-87820) | 09/2026 | 2.4.6 | Lộ tên admin và tiền tố API key mà không cần đăng nhập | 5.3 |
| [CVE-2026-88895](https://nvd.nist.gov/vuln/detail/CVE-2026-88895) | 09/2026 | 3.0.5 | API chấp nhận token sinh từ mật khẩu mà không cần mã 2FA | 7.2 |

Vài điểm cần lưu ý:

- Lỗi nặng nhất năm 2026 là **CVE-2026-67614**. [Advisory của VulnCheck](https://www.vulncheck.com/advisories/cyberpanel-hard-coded-jwt-secret-authentication-bypass-via-webterminal) mô tả một khoá bí mật viết cứng trong dịch vụ Web Terminal: ai cũng có thể giả token với `ssh_user=root` và nhận shell root qua WebSocket ở cổng 8888. Changelog bản 3.0.0 (09/08/2026) ghi đã gia cố xác thực và kiểm tra token của Web Terminal, và bản 3.0.2 thêm bước cấp quyền một lần cho terminal.
- **CVE-2026-88895** quan trọng nếu bạn dựa vào 2FA. [Advisory GHSA-h2f7-38ww-5pwc trên GitHub](https://github.com/usmannasir/cyberpanel/security/advisories/GHSA-h2f7-38ww-5pwc) cho biết bản 3.0.4 trở về trước chấp nhận API token sinh từ mật khẩu mà không cần mã TOTP. Bản 3.0.5 (26/08/2026) bắt buộc 2FA trên API, tạo API key ngẫu nhiên và đổi các key cũ khi nâng cấp, nên các tích hợp cần key mới và header OTP.
- Một số CVE năm 2026, ví dụ [CVE-2026-65917](https://nvd.nist.gov/vuln/detail/CVE-2026-65917), là lỗi cách ly giữa các tenant: một user panel có thể đọc hoặc xoá backup của tenant khác. Điều này rất quan trọng nếu bạn cấp tài khoản CyberPanel cho khách hàng.
- Tại thời điểm viết bài, chưa CVE nào của năm 2026 nằm trong danh mục CISA KEV (NVD không ghi ngày đưa vào KEV). Nghĩa là chưa ghi nhận khai thác hàng loạt, không có nghĩa là các lỗi này vô hại.
- Chúng tôi không tìm thấy CVE nào công bố trong năm 2025 có nhắc tới CyberPanel.

Công bằng mà nói: CyberPanel hiện công bố security advisory trên GitHub, ghi nhận nhà nghiên cứu, và đã phát hành 8 bản 3.0.x từ tháng 8 đến tháng 10/2026, nhiều bản có bản vá bảo mật. Đó là một dự án có sửa lỗi. Điểm yếu nằm ở kiến trúc: tiến trình panel chạy quyền root, như chính mô tả của CVE-2026-67613 ghi rõ, nên lỗi chèn lệnh ở bất kỳ đâu trong panel cũng thành lỗi root.

## Cách kiểm tra server CyberPanel có bị xâm nhập không

Hãy chạy các lệnh sau trên mọi server từng chạy CyberPanel 2.3.7 trở về trước vào cuối năm 2024, hoặc bất kỳ bản nào trước 3.0.0 mà để mở cổng 8888. Đây là bước sàng lọc nhanh, không thay cho điều tra số chuyên sâu.

| Cần tìm | Lệnh | Vì sao |
| --- | --- | --- |
| File khoá của PSAUX | `ls -la /var/key.enc /var/iv.enc` | PSAUX lưu khoá AES và IV đã mã hoá ở đây ([BleepingComputer](https://www.bleepingcomputer.com/news/security/massive-psaux-ransomware-attack-targets-22-000-cyberpanel-instances/)) |
| Thư tống tiền khi đăng nhập | `cat /etc/motd` | Thư được chép vào `/etc/motd` và ghi thành `index.html` trong các thư mục |
| File bị mã hoá | `find /home -name '*.psaux' -o -name '*.encryp' -o -name '*.locked' \| head` | Các đuôi file được ghi nhận trong đợt 2024 |
| Request tới endpoint bị khai thác | `grep -E 'upgrademysqlstatus\|getresetstatus' /usr/local/lscp/logs/access.log*` | Panel chạy trên lscpd; các đường dẫn này là nơi khai thác năm 2024 |
| SSH key lạ của root | `cat /root/.ssh/authorized_keys` | CVE-2026-71965 ghi key của kẻ tấn công vào đây |
| Cơ chế bám trụ | `crontab -l -u root; ls -la /etc/cron.d /etc/systemd/system` | Kẻ tấn công thêm cron, service để quay lại |
| Tiến trình đào coin, lạ | `ps aux --sort=-%cpu \| head -15` và `ss -tlnp` | Năm 2024 có server bị cài miner; tìm cổng lắng nghe lạ |
| User panel | Danh sách user trong trang quản trị CyberPanel | Tìm tài khoản admin bạn không tạo |

Log cũ có thể đã bị xoay vòng, nên kết quả trống không chứng minh server sạch. Nếu phát hiện bất kỳ dấu hiệu nào, hãy coi server đã mất: kẻ đã có root có thể ẩn ở những chỗ các lệnh trên không thấy. Đừng cố dọn tại chỗ. Dựng server mới, khôi phục website từ bản backup **trước** thời điểm bị xâm nhập, đổi mọi mật khẩu và API key (panel, SSH, database, hộp thư, admin WordPress), rồi quét lại website. Phần dọn website xem ở bài [xử lý mã độc WordPress](/vi/blog/wordpress-malware-cleanup).

## Cách gia cố CyberPanel nếu bạn vẫn dùng

Nếu server sạch và bạn muốn giữ CyberPanel, hãy làm theo thứ tự sau.

1. **Cập nhật lên bản mới nhất.** Lệnh chính thức theo [README của dự án](https://github.com/usmannasir/cyberpanel):

   ```bash
   sh <(curl https://raw.githubusercontent.com/usmannasir/cyberpanel/stable/preUpgrade.sh || wget -O - https://raw.githubusercontent.com/usmannasir/cyberpanel/stable/preUpgrade.sh)
   ```

   Sau đó so bản đang chạy với [changelog](https://cyberpanel.net/KnowledgeBase/home/change-logs/). Bản trước 3.0.5 thiếu bản vá 2FA; bản trước 3.0.0 còn lỗi Web Terminal.
2. **Đóng cổng 8090 và 8888 với bên ngoài.** Chỉ cho phép từ IP văn phòng hoặc VPN, trên firewall của server hoặc tốt hơn là firewall của nhà cung cấp VPS (cloud firewall), để quy tắc vẫn giữ nguyên kể cả khi firewall trong server bị thay đổi. Các cuộc tấn công năm 2024 chỉ thành công với server để cổng panel trả lời bất kỳ ai.
3. **Bật 2FA** cho mọi admin, và sau khi lên 3.0.5 trở lên thì thay API key cho các tích hợp, vì key cũ bị từ chối.
4. **Xoá user panel không cần thiết**, và đừng cấp tài khoản panel cho khách hàng không tin cậy trên server đang chạy website của chính bạn, vì các lỗi cách ly tenant năm 2026.
5. **Giữ backup ngoài server** và thử khôi phục định kỳ. Ransomware mã hoá luôn cả backup nằm trên máy. Bài [chiến lược backup website](/vi/blog/website-backup-strategy) giải thích nguyên tắc 3-2-1.
6. **Theo dõi advisory**: đăng ký nhận security advisory của repository trên GitHub để biết bản vá tiếp theo ngay khi phát hành.

Các bước này áp dụng cho **mọi** control panel, kể cả ZoPanel. Một panel không truy cập được từ internet thì rất khó bị khai thác, dù nó có lỗi gì.

## Khi nào nên rời CyberPanel?

Ở lại là hợp lý với một server chỉ chạy website của bạn, đã vá và đã chặn cổng. Nên chuyển khi:

- **server từng bị lộ trong lúc còn lỗ hổng** và bạn không loại trừ được khả năng bị xâm nhập; đằng nào cũng phải dựng lại, hãy dựng lại trên panel bạn muốn;
- **bạn cho khách hàng thuê hosting** và cần cách ly chặt giữa các tenant, điều mà các lỗi backup năm 2026 đặt dấu hỏi;
- **bạn không thể giữ panel sau firewall**, ví dụ khách đăng nhập từ khắp nơi;
- **bạn muốn một lỗi của panel không đồng nghĩa với mất root**. Đây là câu hỏi về kiến trúc, chúng tôi viết riêng trong bài [vì sao control panel không nên chạy bằng root](/vi/blog/secure-hosting-panel-architecture).

ZoPanel được thiết kế quanh điểm cuối cùng đó. Giao diện web chạy bằng user không có quyền root, và một agent root riêng chỉ nhận danh sách hành động cố định, kiểm tra lại mọi tham số. Mỗi tài khoản hosting là một user Linux riêng, có pool PHP-FPM riêng và systemd slice với giới hạn CPU, RAM, số tiến trình. Panel có sẵn WAF (ModSecurity), quét mã độc, 2FA có thể bắt buộc, giới hạn IP truy cập panel và bản cập nhật có chữ ký, tự rollback khi lỗi ([tài liệu bảo mật](/vi/docs/security), [tính năng bảo mật](/vi/features/security)). Hạn chế cần nói rõ: ZoPanel mới hơn, nên lịch sử kiểm định công khai ngắn hơn các panel lâu năm; chỉ chạy trên Ubuntu và Debian với nginx (Apache tuỳ chọn theo website); và **không** nhập trực tiếp backup CyberPanel, nên bạn chuyển website thủ công. Hãy lên kế hoạch theo bài [chuyển website không gián đoạn](/vi/blog/migrate-website-without-downtime).

## Kết luận

Năm 2026, CyberPanel không mặc định là không an toàn, nhưng nó không cho phép bạn chủ quan. Đội phát triển vá nhanh, nhưng panel chạy quyền root và đã có lỗi chiếm root không cần đăng nhập cả năm 2024 lẫn 2026. Nếu ở lại, hãy chạy bản 3.0.x mới nhất, chặn cổng 8090 và 8888 với bên ngoài, bật 2FA và giữ backup ngoài server đã thử khôi phục. Nếu server từng chạy bản cũ và mở ra internet, hãy dựng lại.

Nếu đằng nào bạn cũng dựng server mới, hãy thử ZoPanel trên đó: [gói Free](/vi/pricing) gồm 3 tài khoản hosting, 10 website và 10 database, không giới hạn thời gian, đủ để chuyển vài website và so sánh.

## Câu hỏi thường gặp

### CyberPanel có an toàn để dùng năm 2026 không?

Có thể, nếu bạn chạy bản mới nhất (3.0.8 tại thời điểm viết bài) và chỉ cho IP tin cậy truy cập cổng 8090 và 8888. Các bản trước 3.0.0 có lỗi lấy shell root không cần đăng nhập trong Web Terminal (CVE-2026-67614), còn các bản trước 3.0.5 cho phép API bỏ qua 2FA. Một server CyberPanel cũ, mở ra internet thì không an toàn.

### Vụ ransomware CyberPanel đã được vá chưa?

Rồi. Các lỗ hổng bị khai thác tháng 10/2024 (CVE-2024-51567 và CVE-2024-51378) đã được vá ở bản 2.3.8, phát hành ngày 01/11/2024. Bản vá không khôi phục thiệt hại: server đã bị mã hoá phải khôi phục từ backup hoặc thử công cụ giải mã PSAUX nếu dùng được.

### Làm sao biết server CyberPanel của tôi đã bị hack?

Hãy tìm `/var/key.enc` và `/var/iv.enc`, thư tống tiền trong `/etc/motd`, file có đuôi `.psaux`, `.encryp` hoặc `.locked`, key lạ trong `/root/.ssh/authorized_keys`, và request tới `upgrademysqlstatus` hoặc `getresetstatus` trong `/usr/local/lscp/logs/`. Thấy bất kỳ dấu hiệu nào thì nên dựng lại server thay vì cố dọn.

### CyberPanel dùng cổng nào, có nên chặn không?

Trang quản trị chạy ở cổng 8090, còn Web Terminal dùng cổng 8888. Chỉ cho phép cả hai từ IP của bạn hoặc qua VPN, tốt nhất là trên cloud firewall của nhà cung cấp VPS. Riêng bước này đã có thể bảo vệ phần lớn server bị tấn công năm 2024.

### CyberPanel có an toàn hơn các panel miễn phí khác không?

Panel miễn phí phổ biến nào cũng từng có lỗ hổng nghiêm trọng, nên điều đáng so sánh là tốc độ ra bản vá, độ dễ cập nhật và kẻ tấn công được gì khi tìm ra lỗi. CyberPanel hiện ra bản vá và advisory nhanh, nhưng panel chạy bằng root. Hãy so sánh panel cả về kiến trúc chứ không chỉ tính năng.