Se ha explotado en estado salvaje una vulnerabilidad de seguridad de máxima gravedad que afecta al complemento cPanel del usuario final LiteSpeed.
Esta falla, identificada como CVE-2026-48172 (puntuación CVSS: 10.0), está relacionada con una instancia de asignación de privilegios incorrecta, que un atacante podría aprovechar para ejecutar scripts arbitrarios con privilegios elevados.
«Los usuarios de cPanel (incluidos los atacantes y las cuentas comprometidas) podrían aprovechar la función lsws.redisAble para ejecutar scripts arbitrarios como root», dijo LiteSpeed.
Esta vulnerabilidad afecta a todas las versiones del complemento desde la 2.3 hasta la 2.4.4. El complemento WHM de LiteSpeed no se ve afectado. Este problema se resolvió en la versión 2.4.5. Al investigador de seguridad David Strydom se le atribuye el descubrimiento y el informe de esta falla.
LiteSpeed señaló que «la vulnerabilidad está siendo explotada activamente», pero se negó a compartir más detalles. Se han compartido los siguientes indicadores de compromiso:
grep -rE «cpanel_jsonapi_func=redisAble» /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null
Si ejecutar el comando «grep» antes mencionado no produce ningún resultado, su servidor no se ve afectado. Sin embargo, si hay resultados, es una buena idea examinar las direcciones IP de la lista para determinar si son legítimas y bloquearlas si no lo son.
LiteSpeed anunció que después de realizar una revisión de seguridad de sus complementos cPanel y WHM en respuesta a esta vulnerabilidad, parchó ambos complementos para detectar posibles vectores de ataque adicionales y lanzó la versión 2.4.7 del complemento cPanel junto con la versión 5.3.1.0 del complemento WHM.
Para corregir esta vulnerabilidad, recomendamos actualizar a la versión 5.3.1.0 del complemento LiteSpeed WHM, que viene incluido con el complemento cPanel v2.4.7 o posterior. Si no se puede aplicar un parche inmediato, recomendamos ejecutar el siguiente comando para eliminar el complemento del usuario.
/usr/local/lsws/admin/misc/lscmctl cpanelplugin –desinstalar
Este desarrollo se produce semanas después de que se confirmara que atacantes desconocidos explotaban activamente una vulnerabilidad crítica en cPanel (CVE-2026-41940, puntuación CVSS: 9,8) para implementar una variante de la botnet Mirai y una cepa de ransomware llamada Sorry.