O cPanel lançou atualizações para corrigir três falhas críticas em seus sistemas, cPanel e Web Host Manager (WHM), que poderiam ser exploradas para escalonamento de privilégios, execução de código e negação de serviço.
As vulnerabilidades identificadas são:
- CVE-2026-29201: Falha na validação de entrada do nome do arquivo de recurso, permitindo leitura arbitrária de arquivos (pontuação CVSS: 4.3).
- CVE-2026-29202: Validação insuficiente do parâmetro “plugin” na chamada API “create_user”, possibilitando execução de código Perl (pontuação CVSS: 8.8).
- CVE-2026-29203: Manipulação insegura de links simbólicos, permitindo alteração de permissões de arquivos, resultando em negação de serviço ou escalonamento de privilégios (pontuação CVSS: 8.8).
As correções foram implementadas nas seguintes versões do cPanel e WHM:
- 11.136.0.9 e superiores
- 11.134.0.25 e superiores
- 11.132.0.31 e superiores
- 11.130.0.22 e superiores
- 11.126.0.58 e superiores
- 11.124.0.37 e superiores
- 11.118.0.66 e superiores
- 11.110.0.116 e superiores
- 11.110.0.117 e superiores
- 11.102.0.41 e superiores
- 11.94.0.30 e superiores
- 11.86.0.43 e superiores
Além disso, a versão 110.0.114 foi disponibilizada como atualização direta para clientes que ainda utilizam CentOS 6 ou CloudLinux 6.
Embora não haja indícios de exploração ativa dessas vulnerabilidades, é recomendado que os usuários atualizem para as versões mais recentes para garantir a segurança de seus sistemas. A divulgação das falhas ocorre pouco após a descoberta de outra vulnerabilidade crítica (CVE-2026-41940), que foi explorada por agentes maliciosos para disseminar variantes do botnet Mirai e um ransomware chamado Sorry.
Fonte:https://thehackernews.com/2026/05/cpanel-whm-patch-3-new-vulnerabilities.html
