O cPanel lançou atualizações para corrigir três vulnerabilidades críticas no cPanel e no Web Host Manager (WHM), que poderiam ser exploradas para escalonamento de privilégios, execução de código e negação de serviço. As falhas identificadas são:
- CVE-2026-29201 (pontuação CVSS: 4.3): Falha na validação de entrada do nome do arquivo de recurso na chamada “feature::LOADFEATUREFILE”, permitindo leitura arbitrária de arquivos.
- CVE-2026-29202 (pontuação CVSS: 8.8): Validação insuficiente do parâmetro “plugin” na chamada “create_user API”, possibilitando execução de código Perl arbitrário.
- CVE-2026-29203 (pontuação CVSS: 8.8): Vulnerabilidade no manuseio de links simbólicos, permitindo a modificação de permissões de arquivos, resultando em negação de serviço ou potencial escalonamento de privilégios.
As vulnerabilidades foram corrigidas nas seguintes versões do cPanel e WHM:
- 11.136.0.9 e superiores
- 11.134.0.25 e superiores
- 11.132.0.31 e superiores
- 11.130.0.22 e superiores
- 11.126.0.58 e superiores
- 11.124.0.37 e superiores
- 11.118.0.66 e superiores
- 11.110.0.116 e superiores
- 11.110.0.117 e superiores
- 11.102.0.41 e superiores
- 11.94.0.30 e superiores
- 11.86.0.43 e superiores
Além disso, a versão 110.0.114 foi disponibilizada como atualização direta para clientes que ainda utilizam CentOS 6 ou CloudLinux 6. Recomenda-se que os usuários atualizem para as versões mais recentes para garantir proteção máxima.
Embora não haja evidências de que essas vulnerabilidades tenham sido exploradas em ataques reais, a divulgação ocorre pouco após outra falha crítica no produto (CVE-2026-41940) ter sido utilizada por agentes maliciosos para disseminar variantes do botnet Mirai e um ransomware chamado Sorry.
Fonte:https://thehackernews.com/2026/05/cpanel-whm-patch-3-new-vulnerabilities.html
