Alerta crítico: CVE-2026-48172 permite executar scripts como root em LiteSpeed User-End para cPanel; adesivo imediato recomendado

Uma vulnerabilidade de máxima gravidade foi relatada e confirmada como explorada em ambientes reais no plugin LiteSpeed User‐End para cPanel: CVE‐2026‐48172(CVSS 10.0). De acordo com o fabricante, o erro é uma atribuição incorreta de privilégios que permite a qualquer usuário do cPanel - incluindo um atacante com uma conta comprometida - invocar a função lsws.redisAble para executar programas arbitrários com permissões de root. O problema afeta as versões do plugin entre 2.3 e 2.4.4; a correção está disponível a partir da versão 2.4.5 e LiteSpeed publicou mais adesivos posteriores integrados no pacote recomendado.

A presença de exploração ativa eleva o risco imediato para servidores de hospedagem partilhado, VPS e qualquer infraestrutura que use o plugin afetado, porque a execução como root permite a um atacante instalar portas traseiras persistentes, implantar botnets, mineiros ou ransomware, ou tomar controle completo do nó. Este incidente chega semanas após outra vulnerabilidade crítica no ecossistema cPanel que foi aproveitada para distribuir variantes de Mirai e ransomware, o que sublinha a facilidade com que falhas em componentes de gestão podem se tornar vetores de ataque de grande alcance.

Como medidas urgentes, e sempre priorizando a mínima exposição possível, Actualizar imediatamente à versão de plugin cPanel 2.4.7 e ao plugin WHM 5.3.1.0 ou superior conforme recomendado pelo fornecedor. Se não for possível aplicar o adesivo imediatamente, o LiteSpeed propõe remover temporariamente o plugin do utilizador; consulte as instruções oficiais e, antes de executar alterações drásticas, coordene com o seu provedor de hospedagem ou com o equipamento de operações para evitar interrupções inesperadas. Em todos os casos, contacte o suporte de LiteSpeed para receber os indicadores de compromisso (IOC) e os comandos de verificação que tenham publicado.

Além de adesivos ou remoção do componente vulnerável, é imprescindível realizar uma investigação de incidentes: Procure processos e scripts executando-se como root que não reconheça, crons novos ou modificados, contas de usuário inesperadas, webshells e conexões salientes para IPs ou domínios desconhecidos. Verifique os logs do Apache/Nginx, cPanel/WHM e os registros de autenticação para detectar acessos anómalos; rote credenciais e chaves que puderam ter se comprometido e, ante a menor suspeita de compromisso, isole o servidor e restaure a partir de um backup limpo validado.

Para minimizar a superfície de ataque enquanto se aplica a remediação, considere aplicar controles de contenção: restringir o acesso ao cPanel/WHM por IP, reforçar políticas de senhas e autenticação multifator, monitorar processos e conexões salientes com ferramentas EDR/NDR e manter cópias imutávels de backups. Essas práticas reduzem a probabilidade de escala e propagação de uma conta de usuário comprometida para controle total do sistema.

LiteSpeed tem acreditado o pesquisador David Strydom pelo achado e indicou que, após o incidente, foram adesivos vetores adicionais em ambos os plugins. Para obter informações oficiais e atualizações, consulte o centro de segurança do fabricante e a documentação do ecossistema de hospedagem. Pode começar no Centro de Segurança LiteSpeed e rever anúncios e recomendações gerais do cPanel em seu blog oficial: Blog do cPanel. Para boas práticas em resposta e mitigação de intrusões, o guia de referência da comunidade OWASP pode ser útil: OWASP.

Em resumo: tente CVE‐2026‐48172 Como uma prioridade crítica: adesivo ou remova o plugin vulnerável agora, investigue qualquer indício de comprometimento com urgência e aplique controles de contenção enquanto fortalece a postura de segurança do seu ambiente de hospedagem. Se você administra ou fornece serviços de hospedagem, informe seus clientes de risco e ações tomadas para contê-lo.