La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha emitido una advertencia urgente sobre un fallo de seguridad crítico que afecta a plataformas de gestión de alojamiento web ampliamente utilizadas.

CISA añadió recientemente esta vulnerabilidad a su catálogo de Vulnerabilidades Explotadas Conocidas (KEV), lo que indica que los actores de amenazas la están aprovechando activamente en ataques reales.

Identificado como CVE-2026-41940, el defecto afecta a WebPros cPanel & WHM (WebHost Manager), así como a WP2 (WordPress Squared).

Entendiendo el fallo de omisión de autenticación

El CVE-2026-41940 está clasificado oficialmente como una vulnerabilidad de "Falta de autenticación para funciones críticas", vinculada al identificador de debilidad CWE-306.

La brecha de seguridad existe directamente dentro del flujo de inicio de sesión de los productos afectados.

Debido a que el software no verifica correctamente las identidades de los usuarios durante el proceso de autenticación, los atacantes remotos no autenticados pueden saltarse completamente los controles de seguridad.

Esto significa que un ciberdelincuente no necesita nombres de usuario ni contraseñas válidas para entrar.

En su lugar, pueden explotar el mecanismo de inicio de sesión para obtener instantáneamente acceso administrativo no autorizado al panel de control del alojamiento.

WebPros cPanel & WHM es una suite popular que simplifica la gestión de servidores y sitios web, mientras que WP2 proporciona operaciones optimizadas para WordPress.

Los paneles de control son objetivos muy atractivos para los atacantes porque sirven como la columna vertebral administrativa de miles de sitios web, bases de datos y configuraciones de servidores.

La adopción generalizada de estas herramientas significa que un solo fallo puede exponer innumerables dominios a un compromiso inmediato.

Una vez que un atacante omite la pantalla de inicio de sesión, efectivamente posee las llaves del reino.

Pueden modificar archivos del sitio web, robar información sensible de la base de datos, redirigir el tráfico web o establecer puertas traseras persistentes para accesos futuros.

Aunque CISA señala que actualmente se desconoce si esta vulnerabilidad específica está vinculada a campañas de ransomware en curso, el riesgo sigue siendo grave.

Los entornos de alojamiento comprometidos suelen ser utilizados como armas para albergar páginas de phishing, ejecutar scripts de minería de criptomonedas o lanzar ataques coordinados contra otras redes.

Mitigaciones requeridas y plazos

Para contrarrestar esta amenaza activa, CISA exige una acción inmediata de las agencias federales, y se recomienda encarecidamente que las organizaciones privadas adopten las mismas medidas de protección.

Como parte del equipo de seguridad o administrador de sistemas, debes priorizar los siguientes pasos:

• Aplica inmediatamente los últimos parches de seguridad proporcionados por el proveedor para asegurar el flujo de inicio de sesión.
• Sigue la guía de seguridad detallada en la Directiva Operativa Vinculante (BOD) 22-01 de CISA, específicamente en lo referente a servicios en la nube.
• Deja de utilizar el producto vulnerable por completo si no hay actualizaciones o mitigaciones prácticas disponibles para tu entorno específico.

CISA añadió originalmente esta vulnerabilidad al catálogo KEV el 30 de abril de 2026 y estableció un plazo estricto de remediación hasta el 3 de mayo de 2026.

Dado que este plazo ya ha vencido, las organizaciones que aún no hayan parcheado sus sistemas deben tratar esto como una prioridad crítica de respuesta ante incidentes.