cPanel corrige três falhas no WHM; uma pode permitir comandos como root
O cPanel corrigiu três vulnerabilidades que afetavam versões suportadas do cPanel & WHM. A falha mais grave pode permitir a execução de comandos com privilégios de root, enquanto as outras duas envolvem ataques de cross-site scripting armazenado (XSS) capazes de atingir a sessão de um administrador.
As correções foram anunciadas em 29 de setembro. O alerta é relevante para provedores de hospedagem, empresas que administram seus próprios servidores e equipes de TI responsáveis por ambientes que utilizam o painel. Como o WHM centraliza tarefas de gerenciamento, uma brecha nesse sistema pode ter consequências que ultrapassam uma única conta ou site.
A vulnerabilidade de maior gravidade é a CVE-2026-93698. Ela está relacionada a uma validação insuficiente no Multilang adminbin e, se explorada com sucesso, pode levar à execução de comandos arbitrários como root. Esse nível de acesso dá ao invasor controle amplo sobre o servidor e os recursos hospedados nele.
Em um ambiente compartilhado, as contas de clientes normalmente são isoladas para limitar o alcance de um incidente. Uma falha que possibilita chegar ao nível de root pode romper essa barreira: o atacante pode afetar vários sites, contas e bancos de dados no mesmo servidor, em vez de ficar restrito a uma aplicação.
Com privilégios elevados, também é possível alterar arquivos, modificar configurações de serviços, obter informações armazenadas na máquina e criar mecanismos para manter acesso ao ambiente. Um invasor pode ainda interferir em registros e outros elementos importantes para reconstruir o que aconteceu. Por isso, a gravidade não se limita à indisponibilidade: dados e integridade dos sistemas também podem estar em risco.
As outras duas falhas, CVE-2026-93697 e CVE-2026-93029, são classificadas como XSS armazenado. A primeira afeta interfaces de modificação de contas do WHM, incluindo o recurso Mass Modify Accounts. A segunda está associada à interface Manage SSL Hosts.
Nesse tipo de vulnerabilidade, um conteúdo malicioso é armazenado e executado quando uma página vulnerável o exibe. De acordo com o cPanel, um usuário sem privilégios administrativos pode provocar a execução de um script no contexto da sessão de um administrador do WHM. O código pode, então, realizar ações com as permissões disponíveis para aquela sessão.
A autenticação multifator continua sendo uma medida importante para proteger o acesso ao painel, mas não elimina o risco dessas falhas. Mesmo que o administrador tenha entrado com credenciais válidas e concluído a verificação adicional, a sessão ainda pode ser afetada se carregar conteúdo malicioso por meio de uma interface vulnerável. Por isso, a atualização do software é indispensável.
O aviso do fornecedor informa que todas as versões suportadas do cPanel & WHM eram afetadas antes da disponibilização dos builds corrigidos. Não basta presumir que o servidor está protegido porque recebe atualizações automáticas: é necessário verificar a versão e o build efetivamente instalados e confirmar que correspondem a uma edição corrigida.
A prioridade deve ser atualizar o cPanel & WHM para um build corrigido ou para uma versão mais recente disponibilizada pelo fornecedor. Em ambientes com vários servidores, a equipe deve mapear todos os nós que utilizam o painel e confirmar a aplicação da atualização em cada um deles, incluindo máquinas menos utilizadas ou mantidas para contingência.
Se algum servidor ficou exposto enquanto vulnerável, a instalação do patch não deve ser tratada como prova de que não houve invasão. A atualização impede a exploração das falhas corrigidas, mas não remove automaticamente alterações que um invasor possa ter feito antes da correção. Por isso, a aplicação do patch deve ser acompanhada de uma avaliação do ambiente.
A investigação pode incluir a revisão de acessos administrativos, alterações em contas e permissões, criação de usuários, chaves SSH, tarefas agendadas e processos incomuns. Também é recomendável examinar mudanças em DNS, certificados, arquivos dos sites, configurações de serviços e registros de autenticação. Atividades inesperadas devem ser analisadas com cuidado, especialmente quando não houver uma justificativa operacional.
Se houver indícios de comprometimento, pode ser necessário isolar o servidor, preservar registros e evidências e redefinir credenciais potencialmente expostas. A equipe também deve avaliar se senhas, chaves ou outros segredos armazenados na máquina podem ter sido acessados. Em sistemas com impacto elevado, a resposta deve seguir os procedimentos internos de gestão de incidentes.
Como o WHM concentra funções administrativas, limitar quem pode acessá-lo reduz a exposição, embora não substitua a correção. Sempre que possível, o acesso ao painel deve ficar restrito a endereços e redes autorizados, e as permissões de cada conta administrativa devem corresponder às necessidades reais do usuário.
Também é importante manter um inventário atualizado dos servidores, registrar as versões do cPanel & WHM e definir responsáveis por acompanhar alertas de segurança. Em ambientes com muitos clientes ou máquinas, esse controle ajuda a evitar que um servidor esquecido permaneça vulnerável depois que as correções já foram aplicadas aos sistemas principais.
Em resumo, a resposta envolve duas etapas: corrigir imediatamente as versões afetadas e investigar possíveis sinais de exploração nos servidores que ficaram expostos. A falha que pode resultar em execução como root torna essa verificação especialmente importante, enquanto as vulnerabilidades de XSS mostram que até uma sessão administrativa legítima pode ser colocada em risco.