Kritische Warnung: CVE-2026-48172 ermöglicht es Ihnen, Skripte als root in LiteSpeed User-End für cPanel auszuführen; empfohlene sofortige Patch

Im LiteSpeed User-End-Plugin für cPanel wurde eine Schwachstelle von maximaler Schwere als in realen Umgebungen ausgebeutet und bestätigt: CVE-2026-48172(CVSS 10.0). Nach Angaben des Herstellers besteht der Ausfall aus einer falschen Zuordnung von Privilegien, die es jedem cPanel-Benutzer - einschließlich eines Angreifers mit einem Kompromiss-Account - erlaubt, die Lsws zu rufen. Redis Able-Funktion für beliebige Skripte mit root-Berechtigungen ausführen. Das Problem betrifft die Plugin-Versionen zwischen 2.3 und 2.4.4; die Korrektur ist ab Version 2.4.5 verfügbar und LiteSpeed hat später Patches in das empfohlene Paket integriert veröffentlicht.

Die aktive Präsenz erhöht das unmittelbare Risiko für geteilte Hosting-Server, VPS und jede Infrastruktur mit dem betroffenen Plugin, da die Ausführung als root einen Angreifer ermöglicht, persistente Back-Türen zu installieren, Botnets, Miners oder Ransomware zu implementieren, oder die vollständige Kontrolle des Knotens zu übernehmen. Dieser Vorfall kommt Wochen nach einer weiteren kritischen Schwachstelle im cPanel-Ökosystem, das verwendet wurde, um Mirai und Ransomware-Varianten zu verteilen, was die Leichtigkeit hervorhebt, mit der Management-Komponenten-Ausfälle zu mächtigen Angriffsvektoren werden können.

Als dringende Maßnahmen und immer Priorisierung der minimal möglichen Exposition, sofort aktualisieren auf die Version des Plugins cPanel 2.4.7 und auf das Plugin WHM 5.3.1.0 oder höher, wie vom Lieferanten empfohlen. Wenn es nicht möglich ist, das Patch sofort anzuwenden, schlägt LiteSpeed vor, das Benutzer-Plugin vorübergehend zu entfernen; Überprüfen Sie die offiziellen Anweisungen und, bevor Sie drastische Änderungen ausführen, koordinieren Sie mit Ihrem Hosting-Anbieter oder dem Operations-Team, um unerwartete Unterbrechungen zu vermeiden. In allen Fällen kontaktieren Sie die LiteSpeed-Unterstützung, um die Verpflichtungsindikatoren (IOC) und die von ihnen veröffentlichten Kontrollbefehle zu erhalten.

Neben dem Patchen oder Entfernen der gefährdeten Komponente ist eine Vorfalluntersuchung unerlässlich: Suchvorgänge und Skripte, die als root laufen, die nicht erkennen, neue oder geänderte crons, unerwartete Benutzerkonten, Webshells und ausgehende Verbindungen zu IPs oder unbekannten Domänen. Überprüfen Sie die Apache / Nginx, cPanel / WHM und Authentisierung Aufzeichnungen, um anormale Zugriffe zu erkennen; rote Anmeldeinformationen und Schlüssel, die möglicherweise beeinträchtigt wurden, und, im Licht des geringsten Verdachts des Engagements, isolieren den Server und wiederherstellen es von einer validierten sauberen Sicherung.

Um die Angriffsfläche bei der Anwendung der Abhilfe zu minimieren, sollten Sie die Eindämmungskontrollen anwenden: den Zugriff auf cPanel / WHM durch IP beschränken, die Passwortrichtlinien und die Multifaktor-Authentifizierung stärken, ausgehende Prozesse und Verbindungen mit EDR / NDR-Tools überwachen und unmutierte Kopien von Backups beibehalten. Diese Praktiken verringern die Wahrscheinlichkeit der Skalierung und Verbreitung von einem kompromittierten Benutzerkonto zur Gesamtsystemsteuerung.

LiteSpeed hat Forscher David Strydom für das Finden akkreditiert und hat darauf hingewiesen, dass nach dem Vorfall zusätzliche Vektoren in beiden Plugins gepatelt wurden. Für offizielle Informationen und Updates siehe das Sicherheitszentrum des Herstellers und die Dokumentation des Hosting-Ökosystems. Sie können starten LiteSpeed Sicherheitszentrum und überprüfen cPanel allgemeine Anzeigen und Empfehlungen auf Ihrem offiziellen Blog: CPanel Blog. Für eine gute Praxis bei der Reaktion und Minderung von Intrusionen kann der OWASP-Gemeinschaftsreferenzführer nützlich sein: OWASP.

Zusammenfassung: versuchen CVE-2026-48172 als kritische Priorität: Parken oder entfernen Sie das anfällige Plugin jetzt, untersuchen Sie jedes Zeichen des Engagements dringend und setzen Sie Eindämmungskontrollen und stärken Sie die Sicherheitsposition Ihrer Hosting-Umgebung. Wenn Sie Hosting-Dienste verwalten oder bereitstellen, informieren Sie Ihren Kunden über das Risiko und die Maßnahmen, die ergriffen werden, um es zu enthalten.