CSF op cPanel: update naar 16.31 — twee kritieke Messenger-lekken

Als u zelf of via uw hostingpartner een server beheert met ConfigServer Security & Firewall (CSF) bij cPanel/WHM, moet u vandaag controleren of CSF op 16.31 of hoger staat. Het Centrum voor Cybersecurity België (CCB) waarschuwt op vrijdag 11 september 2026 voor kritieke lekken in cPanel/WHM-omgevingen met CSF waardoor aanvallers code kunnen draaien op de server.

KMO-IMPACT: DRINGEND

Wat er speelt

WebPros/cPanel publiceerde updates voor twee ernstige zwaktes in CSF. CVE-2026-67402 (CVSS 9.2) zit in Messenger v3: bij een onveilige Apache-configuratie kan een onbevoegde aanvaller via het Messenger-v3-HTTPS-virtualhost systeemcommando’s uitvoeren als de Apache-gebruiker. Getroffen: CSF vanaf 14.02 tot vóór 16.31; fix vanaf 16.31. Messenger v3 staat standaard uit; wie het aanzette, is blootgesteld tot de update.

CVE-2026-65638 (CVSS 9.2) betreft opnieuw de Messenger-dienst: een onbevoegde aanvaller kan commando’s uitvoeren als het CSF-serviceaccount. Getroffen: CSF 14.00 tot en met 16.29; fix vanaf 16.30 (neem meteen 16.31+). Volgens cPanel is dit alleen bereikbaar als Messenger aan staat én er een reCAPTCHA-secret is geconfigureerd — beide staan standaard uit.

Wat betekent dit voor uw onderneming?

• Voor wie: webshops, bureaus en kmo’s die een VPS of dedicated server met cPanel/WHM én CSF beheren; ook wie hosting uitbesteedt moet bij de partner navragen of CSF bijgewerkt is.
• Vanaf wanneer: patches zijn beschikbaar sinds begin september 2026; CCB herhaalt de waarschuwing op 11 september 2026.
• Financiële impact: succesvolle overname van de host kan webshops, klantendata en mail op dezelfde server raken — herstel en stilstand kosten meer dan een update.
• Wat moet u doen: update CSF via de gebruikelijke package-update op de server (yum/dnf/apt + /scripts/update-packages volgens cPanel). Kan dat niet meteen: zet in /etc/csf/csf.conf MESSENGERV3 = 0 en/of MESSENGER = 0, herstart csf en lfd. Vraag bevestiging van uw hoster met versienummer (csf -v).
• Deadline: zo snel mogelijk; geen aparte Belgische wettelijke patchdeadline, wél actieve CCB-waarschuwing.
• Nog niet duidelijk: of er al actief misbruik in België is vastgesteld — CCB en leverancier vragen preventief te patchen.

Praktisch voor zaakvoerders

Heeft u geen root-toegang, mail uw hoster vandaag met de vraag: “Welke CSF-versie draait op onze cPanel-server, en staat Messenger (v3) uit?” Eis minstens 16.31. Beheert u zelf: update eerst, controleer daarna of Messenger nog nodig is. Patch lost toekomstige aanvallen af; vermoed u eerdere compromittering, laat de server forensisch nalopen vóór u opnieuw live gaat.

Bronnen voor IT: CCB-advisorieslijst 11/09/2026; cPanel security notes CVE-2026-67402 (3/9) en CVE-2026-65638 (10/9).