Alerta urgente: CVE-2026-48172 en LiteSpeed cPanel permite escalación de privilegios a root y ya está explotada

La agencia de ciberseguridad de Estados Unidos, CISA, ha emitido una orden urgente que obliga a las agencias federales a corregir en cuatro días una vulnerabilidad crítica en el plugin de usuario de LiteSpeed para cPanel (rastreada como CVE-2026-48172), porque ya está siendo explotada en entornos productivos. La falla permite a atacantes remotos sin privilegios ejecutar scripts con permisos de root al aprovechar una mala asignación de privilegios en la función responsable de activar/desactivar Redis dentro del plugin, lo que convierte un control funcional en un vector de elevación de privilegios de alto impacto.

El hecho de que CISA haya añadido este fallo a su catálogo de vulnerabilidades explotadas en ataques y haya invocado la Binding Operational Directive (BOD) 22-01 para acelerar el parcheo subraya la gravedad: aunque la obligación formal aplica a organismos federales, la amenaza es general y afecta a cualquier proveedor de hosting, VPS o servidor dedicado que use cPanel con el plugin de LiteSpeed. LiteSpeed publicó un aviso y actualización urgente con la corrección; actualizar sin demoras debe ser la primera prioridad para administradores.

Si administras sistemas con cPanel, comprueba de inmediato si hay rastros de uso de la función vulnerable ejecutando búsquedas en los logs de cPanel, por ejemplo: grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null. Si este comando devuelve entradas, examina las IPs implicadas, valida si corresponden a actividad legítima y, en caso contrario, bloquéalas. Más allá de ese indicador directo, inspecciona cambios recientes en crontabs, nuevos binarios con permisos inusuales, entradas en /etc/ssh/authorized_keys y cualquier script ejecutado como root o unidades systemd creadas en las últimas 72 horas.

Si no puedes parchear de inmediato por razones operativas, aplica mitigaciones temporales: deshabilita el plugin afectado en cPanel/WHM, restringe el acceso al puerto y a la interfaz de administración por dirección IP, aísla los hosts expuestos en una red separada y toma snapshots para análisis forense. Estas acciones reducen la ventana de exposición mientras se prepara el parche. Recuerda que la mera actualización no sustituye a una revisión post-incidente: cuando se aplica la corrección, verifica la integridad del sistema antes de volver a exponerlo a tráfico de producción.

Para detección y respuesta, prioriza búsquedas de web shells, conexiones salientes sospechosas y procesos hijos inusuales de servicios web. Comandos útiles para triage incluyen listar tareas cron de root con crontab -l -u root, buscar archivos recientes con find / -mtime -7 -type f -perm /u+s y revisar registros de sudo y auth con grep en /var/log/auth.log o /var/log/secure según la distribución. Si detectas compromiso, realiza aislamiento inmediato, captura memoria y discos para análisis y consulta con equipos forenses antes de restaurar desde backups.

En términos de gestión de riesgo y gobernanza, este incidente es una nueva prueba de que los plugins y extensiones de paneles de control son superficie de ataque crítica; conviene incorporar inventarios de componentes, pruebas de actualización en entornos de staging y reglas de detección específicas para funciones administrativas expuestas. Para organizaciones que proveen servicios a terceros, comunica la situación a clientes y ofrece acciones concretas para reducir daños, porque la exposición de un servicio compartido puede afectar a múltiples inquilinos.

Finalmente, prioriza la puesta al día del software y automatiza parches cuando sea posible; mantén copias fuera de línea y procedimientos de recuperación probados y documentados. Para información oficial y recursos de mitigación consulta el registro CVE de la vulnerabilidad en CVE-2026-48172 y el aviso de CISA referido arriba. La combinación de actualización urgente, búsqueda activa de indicadores y medidas de contención es la única forma razonable de minimizar el impacto de una vulnerabilidad que eleva privilegios hasta root y que ya está en manos de atacantes.