cPanel ha publicado actualizaciones que abordan tres vulnerabilidades en cPanel y Web Host Manager (WHM). Estas vulnerabilidades pueden explotarse para lograr escalada de privilegios, ejecución de código y denegación de servicio.
Aquí está la lista de vulnerabilidades:
CVE-2026-29201 (puntuación CVSS: 4,3): la validación de entrada insuficiente del nombre del archivo de función en la llamada al contenedor de administración «feature::LOADFEATUREFILE» permite leer archivos arbitrarios. CVE-2026-29202 (puntuación CVSS: 8,8): la validación de entrada insuficiente del parámetro «plugin» en la llamada «create_user API» puede provocar la ejecución arbitraria de código Perl en nombre de un usuario del sistema para una cuenta autenticada. CVE-2026-29203 (Puntuación CVSS: 8,8): una vulnerabilidad de manejo de enlaces simbólicos inseguros permite a los usuarios cambiar permisos en archivos arbitrarios usando chmod, lo que podría resultar en una denegación de servicio o una escalada de privilegios.
Las deficiencias se han solucionado en las siguientes versiones:
cPanel y WHM – 11.136.0.9 y posteriores 11.134.0.25 y posteriores 11.132.0.31 y posteriores 11.130.0.22 y posteriores 11.126.0.58 y posteriores 11.124.0.37 y posteriores 11.118.0.66 y posteriores 11.110.0.116 11.110.0.117 o posterior 11.102.0.41 o posterior 11.94.0.30 o posterior 11.86.0.43 o posterior WP Squared –
cPanel lanzó 110.0.114 como una actualización directa para los clientes que aún usan CentOS 6 o CloudLinux 6. Recomendamos actualizar a la última versión para una protección óptima.
Aunque no hay evidencia de que esta vulnerabilidad haya sido explotada, esta divulgación se produce días después de que los atacantes utilizaran otra falla crítica en el producto (CVE-2026-41940) en un ataque de día cero para distribuir variantes de la botnet Mirai y el ransomware llamado Sorry.
Source link
