CVE-2023-46818

ISPConfig antes de 3.2.11p1 permite la inyección de código PHP a través de su editor de archivos de idioma, pero dos condiciones lo enmarcan con precisión: el actor debe ser un administrador, y la opción admin_allow_langedit tiene que estar habilitada. Cuando ambas se cumplen, un administrador puede inyectar PHP que el servidor ejecuta —ejecución de código en el panel de control de alojamiento, que es una posición poderosa—. Pero el fallo está limitado por el privilegio de administrador y un interruptor de configuración específico.

Esa limitación es la razón por la que lo clasificamos por debajo de los RCE no autenticados a los que superficialmente se parece. El modelo de amenaza realista es un administrador cuyas credenciales fueron comprometidas, o un panel con múltiples administradores donde no todos son plenamente confiables; no es algo que un escáner anónimo de internet convierta en un shell. La función del editor de idioma tiene que estar activada para que la ruta exista siquiera, lo que reduce aún más la población expuesta.

Nuestro movimiento práctico es la clasificación por configuración más que una carrera de parcheo generalizada: encontrar las instancias de ISPConfig por debajo de 3.2.11p1 y comprobar si admin_allow_langedit está realmente habilitado, porque las instancias con la opción desactivada no son accesibles por esta ruta. Donde está activada, priorizamos la actualización y, mientras tanto, desactivar la opción es una mitigación provisional limpia que cierra la puerta sin esperar.