CVE-2023-46818

O ISPConfig antes da 3.2.11p1 permite injeção de código PHP por meio de seu editor de arquivos de idioma, mas duas condições o delimitam com precisão: o ator precisa ser um administrador e a opção admin_allow_langedit precisa estar habilitada. Quando ambas valem, um administrador pode injetar PHP que o servidor executa — execução de código no painel de controle de hospedagem, uma posição poderosa. Mas o bug é restringido por privilégio de administrador e por uma configuração específica.

Essa restrição é o motivo de o classificarmos abaixo dos RCEs não autenticados que ele superficialmente lembra. O modelo de ameaça realista é um administrador cujas credenciais foram comprometidas, ou um painel com múltiplos administradores em que nem todos são plenamente confiáveis; não é algo que um scanner anônimo da internet transforma em shell. O recurso do editor de idiomas precisa estar ligado para o caminho existir, o que estreita ainda mais a população exposta.

Nosso movimento prático é triagem de configuração, não uma correria de correção generalizada: encontrar instâncias do ISPConfig abaixo da 3.2.11p1 e verificar se admin_allow_langedit está de fato habilitado, porque instâncias com ele desligado não são alcançáveis por este caminho. Onde estiver ligado, priorizamos a atualização e, nesse meio-tempo, desabilitar a configuração é uma mitigação provisória limpa que fecha a porta sem esperar.