CVE-2026-48172
Acerca de
El plugin LiteSpeed User-End cPanel anterior a 2.4.5 permite la escalada de privilegios (posiblemente a root), tal como se explotó en la naturaleza en mayo de 2026. La detección se realiza mejor mediante una línea de comandos grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null en Bash. Si no obtiene ninguna salida, no ha sido afectado por la explotación de la vulnerabilidad. Si hay salida, recomendamos examinar las direcciones IP de la lista, determinar si son direcciones IP válidas y, de no serlo, bloquearlas. Para determinar el daño causado, examine los registros del sistema en busca de uso por las direcciones IP detectadas. El problema está relacionado con el manejo incorrecto de las funciones de habilitación/deshabilitación de Redis. La versión mínima recomendada es la 2.4.7.
Análisis del analista Rainforest
El plugin LiteSpeed cPanel/WHM maneja incorrectamente su funcionalidad de habilitación/deshabilitación de Redis de una manera que permite la escalada de privilegios, potencialmente a root, en el servidor de alojamiento. La debilidad se alcanza a través de la función `redisAble` de la JSON API de cPanel, y la propia guía de detección del proveedor — hacer grep en los registros de cPanel en busca de `cpanel_jsonapi_func=redisAble` — apunta a esa llamada como vector de explotación, así que un atacante que abusa de la función de Redis eleva de un acceso limitado al control del sistema.
En un servidor de alojamiento compartido, una escalada de privilegios a root es una brecha de toda la tenencia: las máquinas cPanel alojan lado a lado los sitios y datos de muchos clientes, así que root convierte un solo punto de apoyo en el compromiso de cada cuenta de la máquina. La falla se explotó en la naturaleza en mayo de 2026, así que los servidores expuestos deben tratarse como objetivos en lugar de como un riesgo hipotético. Actualice al menos a la versión 2.4.7 según recomienda el proveedor, y ejecute el grep de registros proporcionado en los sistemas afectados; si devuelve coincidencias, investigue las direcciones IP de origen, bloquee las que sean ilegítimas y recorra los registros del sistema para dimensionar cualquier daño antes de asumir que la actualización por sí sola cerró el incidente.
Referencias
- https://blog.litespeedtech.com/2026/05/21/security-update-for-litespeed-cpanel-plugin/
- https://www.litespeedtech.com/products/litespeed-web-server/control-panel-support/cpanel
- https://www.litespeedtech.com/products/litespeed-web-server/control-panel-support/release-log
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48172
CVEs Relacionadas
No hay CVEs relacionadas.
Preguntas frecuentes
¿Qué es CVE-2026-48172?
El plugin LiteSpeed User-End cPanel anterior a 2.4.5 permite la escalada de privilegios (posiblemente a root), tal como se explotó en la naturaleza en mayo de 2026. La detección se realiza mejor mediante una línea de comandos grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null en Bash. Si no obtiene ninguna salida, no ha sido afectado por la explotación de la vulnerabilidad.
¿Qué tan grave es CVE-2026-48172?
CVE-2026-48172 tiene una puntuación base CVSS 3.1 de 9.8, calificada como critical. En el Rainforest Risk Index — que pondera la gravedad junto con lo fácil que es alcanzar la falla y la amplitud de su impacto — obtiene 99 sobre 100, en la banda crítico.
¿Cómo se explota CVE-2026-48172?
Según el vector CVSS (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H): vector de ataque Red, complejidad de ataque Baja, privilegios necesarios Ninguno, interacción del usuario Ninguna. Impacto en confidencialidad Alto, integridad Alto y disponibilidad Alto.
¿Qué productos afecta CVE-2026-48172?
Los avisos públicos listan como afectados: litespeed cpanel plugin, litespeed whm plugin. Consulta las referencias de esta página para las versiones exactas que confirma cada proveedor.
¿Cómo se corrige CVE-2026-48172?
Aplica la corrección publicada por el proveedor — las referencias de esta página enlazan a los avisos y parches originales. Cuando no se pueda parchear de inmediato, reduce la exposición del componente afectado y vigila los intentos de explotación. Los clientes de Rainforest ven esta vulnerabilidad correlacionada con sus propios activos y priorizada por la exposición real, no solo por la puntuación.
Potencia tu estrategia de seguridad con Rainforest
Descubre vulnerabilidades a tiempo, prioriza amenazas críticas y protege lo que realmente importa. Rainforest simplifica tus operaciones de seguridad, ahorrando tiempo y reduciendo costos, para que te enfoques en lo que impulsa tu negocio.