CISA ha ordenado a las agencias federales de EE. UU. corregir urgentemente una vulnerabilidad crítica (CVE-2026-48172) en el plugin de LiteSpeed para cPanel, la cual está siendo explotada activamente. Este fallo permite que atacantes remotos ejecuten scripts con privilegios de root, afectando a las versiones v2.3 hasta v2.4.4. Se recomienda a todos los usuarios actualizar el plugin de inmediato y revisar sus registros del sistema para detectar posibles intrusiones.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha dado a las agencias federales estadounidenses cuatro días para asegurar sus servidores contra una vulnerabilidad crítica en el complemento de usuario de LiteSpeed cPanel, que está siendo explotada activamente en ataques.

Rastreada como CVE-2026-48172, esta vulnerabilidad de escalada de privilegios está relacionada con el manejo incorrecto de las funciones de habilitación/deshabilitación de Redis y fue encontrada en la función lsws.redisAble.

La vulnerabilidad se deriva de una debilidad en la asignación incorrecta de privilegios que permite a atacantes remotos sin privilegios ejecutar scripts arbitrarios con privilegios de root.

LiteSpeed lanzó actualizaciones de seguridad urgentes el jueves para solucionar el fallo, advirtiendo a los usuarios que actualicen el complemento de usuario de cPanel (incluido en el complemento WHM) a la versión más reciente.

Se recomienda a los usuarios utilizar el siguiente comando para verificar si su servidor es vulnerable a los ataques de CVE-2026-48172:

grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null

"Esta vulnerabilidad está siendo explotada activamente y representa un riesgo para todas las versiones del complemento de usuario entre la v2.3 y la v2.4.4", señaló el equipo de LiteSpeed.

"Si este comando produce algún resultado, recomendamos examinar las IP de la lista, determinar si son válidas y, si no es así, bloquearlas. Para determinar cualquier daño causado, examine los registros del sistema para cualquier acción realizada por las IP detectadas".

El martes, CISA añadió el fallo de seguridad a su catálogo de vulnerabilidades explotadas en ataques y ordenó a las agencias federales de EE. UU. parchear sus sistemas antes de la medianoche del viernes 29 de mayo, según lo dispuesto por la Directiva Operativa Vinculante (BOD) 22-01 [enlace].

Si bien la BOD 22-01 se aplica solo a las agencias federales de EE. UU., CISA instó a todos los defensores (incluido el sector privado) a priorizar los parches de CVE-2026-48172 y asegurar sus servidores lo antes posible.

"Este tipo de vulnerabilidad es un vector de ataque frecuente para los actores ciberdelictivos maliciosos y plantea riesgos significativos para la empresa federal", advirtió la agencia de ciberseguridad.

"Aplique las mitigaciones según las instrucciones del proveedor, siga la guía BOD 22-01 aplicable para los servicios en la nube o deje de utilizar el producto si las mitigaciones no están disponibles".

Fuente:
BleepingComputer