Alerta urgente: CVE-2026-48172 em LiteSpeed cPanel permite escalação de privilégios ao root e já está explorada

A agência de cibersegurança dos Estados Unidos, CISA, emitiu uma ordem urgente que obriga as agências federais a corrigir em quatro dias uma vulnerabilidade crítica no plugin de usuário do LiteSpeed para o cPanel (rastreada como CVE-2026-48172), porque já está sendo explorada em ambientes produtivos. A falha permite a atacantes remotos sem privilégios executar scripts com permissões de root ao aproveitar uma má atribuição de privilégios na função responsável por ativar/desactivar Redis dentro do plugin, tornando um controle funcional em um vetor de elevação de privilégios de alto impacto.

O facto de a CISA ter adicionado esta falha ao seu catálogo de vulnerabilidades exploradas em ataques e tenha invocado a Binding Operational Directive (BOD) 22-01 Para acelerar o adesivo destaca a gravidade: embora a obrigação formal aplica organismos federais, a ameaça é geral e afeta qualquer provedor de hospedagem, VPS ou servidor dedicado que use o cPanel com o plugin LiteSpeed. LiteSpeed publicou um Aviso e actualização urgente com a correção; atualizar sem demoras deve ser a primeira prioridade para administradores.

Se você administra sistemas com cPanel, verifique imediatamente se há vestígios de uso da função vulnerável executando pesquisas nos logs de cPanel, por exemplo: grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null. Se este comando devolve itens, examina os IPs envolvidos, valida se correspondem a atividade legítima e, caso contrário, bloquéalas. Para além desse indicador direto, inspecione mudanças recentes em crontabs, novos binários com permissões invulgares, itens em /etc/ssh/authorized_keys e qualquer programa executado como root ou unidades systemd criadas nas últimas 72 horas.

Se você não puder corrigir imediatamente por razões operacionais, aplica mitigações temporárias: desactiva o plugin afetado no cPanel/WHM, restringe o acesso ao porto e à interface de administração por endereço IP, isola os hosts expostos em uma rede separada e toma snapshots para análise forense. Estas ações reduzem a janela de exposição enquanto se prepara o adesivo. Lembre-se de que a mera atualização não substitui uma revisão pós-incidente: quando se aplica a correção, verifica a integridade do sistema antes de voltar a expor o tráfego de produção.

Para detecção e resposta, prioriza pesquisas da web shells, conexões salientes suspeitas e processos filhos incomuns de serviços web. Comandos úteis para o triage incluem listar tarefas cron de root com crontab -l -u root, procurar arquivos recentes com find / -mtime -7 -type f -perm /u+s e revisar registros de sudo e auth com grep em /var/log/auth.log ou /var/log/secure de acordo com a distribuição. Se você detectar compromisso, faça isolamento imediato, captura memória e discos para análise e consulta com equipamentos forenses antes de restaurar desde backups.

Em termos de gestão de risco e governança, este incidente é um novo teste de que os plugins e extensões de painéis de controle são superfície de ataque crítica; convém incorporar inventários de componentes, testes de atualização em ambientes de staging e regras de detecção específicas para funções administrativas expostas. Para organizações que fornecem serviços a terceiros, comunica a situação a clientes e oferece ações concretas para reduzir danos, porque a exposição de um serviço compartilhado pode afetar múltiplos inquilinos.

Finalmente, prioriza a colocação no dia do software e automatiza adesivos quando possível; mantenha cópias fora de linha e procedimentos de recuperação testados e documentados. Para informação oficial e recursos de mitigação consulta o registro CVE da vulnerabilidade em CVE-2026-48172 e o aviso de CISA acima referido. A combinação de atualização urgente, busca ativa de indicadores e medidas de contenção é a única forma razoável de minimizar o impacto de uma vulnerabilidade que eleva privilégios até root e que já está nas mãos de atacantes.