Vulnerabilidad crítica en cPanel permite a un cliente de hosting tomar control total del servidor

Detalles de la vulnerabilidad

cPanel ha publicado parches para una falla de seguridad que afecta a las funcionalidades de dominio estacionado (parked domains) y dominio addon en cPanel y WebHost Manager (WHM). La vulnerabilidad, identificada como CVE-2026-65643, podría permitir la ejecución de código como usuario root.

Según cPanel, un titular de cuenta autenticado que pueda agregar dominios estacionados o addon podría crear archivos arbitrarios en el servidor, lo que llevaría a una escalada de privilegios y al control total del sistema.

Versiones afectadas y soluciones

cPanel ha lanzado versiones parcheadas para todas las ramas de soporte: 11.110.0.141 o posterior, 11.134.0.53 o posterior, 11.136.0.37 o posterior, 11.138.0.2 o posterior, y 11.138.1.7 o posterior (WP Squared). La actualización automática diaria instala el parche automáticamente en servidores configurados para ello.

Los administradores pueden aplicar la actualización inmediatamente ejecutando /scripts/upcp –force como root, o desde WHM en Home > cPanel > Upgrade to Latest Version. Los servidores con versiones al final de su vida útil deben actualizarse a una versión compatible para recibir el fix.

Historial de vulnerabilidades relacionadas

Esta no es la primera vulnerabilidad crítica en productos de cPanel. En julio, cPanel parcheó tres fallas separadas, incluyendo una en Exim que podría permitir escalada de privilegios desde subcuentas de Team User. Además, CISA ha incluido en su catálogo de vulnerabilidades explotadas conocidas (KEV) fallas en el plugin LiteSpeed para cPanel, como CVE-2026-48172 y CVE-2026-54420, ambas explotadas en ataques.

Recomendaciones y monitoreo

cPanel no ha proporcionado mitigaciones temporales ni métodos para verificar si un servidor ya ha sido comprometido. Sin embargo, se recomienda revisar los registros del servidor en busca de actividades sospechosas. Plesk, otro producto de WebPros, sugirió buscar entradas inesperadas en /etc/ld.so.preload para detectar compromisos relacionados con la vulnerabilidad de Passenger.

La vulnerabilidad ha sido clasificada como crítica, aunque no se ha publicado una puntuación CVSS y no aparece en el catálogo KEV de CISA. cPanel no ha confirmado explotación en la naturaleza, pero dada la gravedad, se insta a los administradores a aplicar los parches de inmediato.