CVE-2026-48172
Sobre
O LiteSpeed User-End cPanel Plugin anterior à 2.4.5 permite escalada de privilégios (possivelmente a root), conforme explorado ativamente em maio de 2026. A detecção é melhor feita por meio da linha de comando grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null no Bash. Se você não obtiver saída, não foi atingido pela exploração da vulnerabilidade. Se houver saída, recomendamos que você examine os endereços IP na lista, determine se são endereços IP válidos e, caso não sejam, os bloqueie. Para determinar o dano causado, examine os logs do sistema quanto ao uso pelos endereços IP detectados. O problema está relacionado ao manuseio incorreto dos recursos de ativação/desativação do Redis. A versão mínima recomendada é a 2.4.7.
Análise do analista Rainforest
O plugin LiteSpeed para cPanel/WHM manuseia incorretamente sua funcionalidade de ativação/desativação do Redis de uma forma que permite escalada de privilégios, potencialmente a root, no servidor de hospedagem. A fraqueza é alcançada por meio da função `redisAble` da API JSON do cPanel, e a própria orientação de detecção do fornecedor — fazer grep nos logs do cPanel por `cpanel_jsonapi_func=redisAble` — aponta essa chamada como o vetor de exploração, de modo que um atacante que abuse do recurso Redis eleva de acesso limitado ao controle do sistema.
Em um servidor de hospedagem compartilhada, uma escalada de privilégios a root é uma brecha de toda a tenência: máquinas cPanel hospedam os sites e dados de muitos clientes lado a lado, portanto root transforma um único ponto de apoio no comprometimento de todas as contas da máquina. A falha foi explorada ativamente em maio de 2026, portanto servidores expostos devem ser tratados como alvos, e não como risco hipotético. Atualize para pelo menos a versão 2.4.7, conforme o fornecedor recomenda, e execute o grep de log fornecido nos sistemas afetados; se ele retornar resultados, investigue os endereços IP de origem, bloqueie os que forem ilegítimos e percorra os logs do sistema para dimensionar qualquer dano antes de presumir que a atualização por si só encerrou o incidente.
Referências
- https://blog.litespeedtech.com/2026/05/21/security-update-for-litespeed-cpanel-plugin/
- https://www.litespeedtech.com/products/litespeed-web-server/control-panel-support/cpanel
- https://www.litespeedtech.com/products/litespeed-web-server/control-panel-support/release-log
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48172
CVEs Relacionadas
Nenhuma CVE relacionada.
Perguntas frequentes
O que é CVE-2026-48172?
O LiteSpeed User-End cPanel Plugin anterior à 2.4.5 permite escalada de privilégios (possivelmente a root), conforme explorado ativamente em maio de 2026. A detecção é melhor feita por meio da linha de comando grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null no Bash. Se você não obtiver saída, não foi atingido pela exploração da vulnerabilidade.
Qual a gravidade de CVE-2026-48172?
CVE-2026-48172 tem pontuação base CVSS 3.1 de 9.8, classificada como critical. No Rainforest Risk Index — que pondera a gravidade junto com a facilidade de alcançar a falha e a amplitude do impacto — a nota é 99 de 100, na faixa crítico.
Como CVE-2026-48172 é explorada?
Segundo o vetor CVSS (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H): vetor de ataque Rede, complexidade de ataque Baixa, privilégios necessários Nenhum, interação do usuário Nenhuma. Impacto em confidencialidade Alto, integridade Alto e disponibilidade Alto.
Quais produtos são afetados por CVE-2026-48172?
Os avisos públicos listam como afetados: litespeed cpanel plugin, litespeed whm plugin. Consulte as referências desta página para as versões exatas confirmadas por cada fornecedor.
Como corrigir CVE-2026-48172?
Aplique a correção publicada pelo fornecedor — as referências desta página levam aos avisos e patches originais. Quando não for possível corrigir de imediato, reduza a exposição do componente afetado e monitore tentativas de exploração. Clientes Rainforest recebem esta vulnerabilidade correlacionada aos próprios ativos e priorizada pela exposição real, não apenas pela nota.
Potencialize sua estratégia de segurança com a Rainforest
Descubra vulnerabilidades cedo, priorize ameaças críticas e proteja o que realmente importa. A Rainforest simplifica suas operações de segurança, economizando tempo e reduzindo custos, para você focar no que move o seu negócio.