cPanel ha lanzado actualizaciones para solucionar tres vulnerabilidades en cPanel y Web Host Manager (WHM) que podrían ser explotadas para lograr la escalada de privilegios, ejecución de código y denegación de servicio.

La lista de vulnerabilidades es la siguiente:

* CVE-2026-29201
https://support.cpanel.net/hc/en-us/articles/40311033698327-Security-CVE-2026-29201-cPanel-WHM-WP2-Security-Update-May-08-2026
(puntuación CVSS: 4.3) - Una validación de entrada insuficiente del nombre del archivo de característica en la llamada adminbin "feature::LOADFEATUREFILE" que podría resultar en la lectura de archivos arbitrarios.
* CVE-2026-29202
https://support.cpanel.net/hc/en-us/articles/40311426610327-Security-CVE-2026-29202-cPanel-WHM-WP2-Security-Update-May-08-2026
(puntuación CVSS: 8.8) - Una validación de entrada insuficiente del parámetro "plugin" en la llamada "create_user API" que podría resultar en la ejecución de código Perl arbitrario en nombre del usuario del sistema de la cuenta ya autenticada.
* CVE-2026-29203
https://support.cpanel.net/hc/en-us/articles/40311543760407-Security-CVE-2026-29203-cPanel-WHM-WP2-Security-Update-May-08-2026
(puntuación CVSS: 8.8) - Una vulnerabilidad de manejo de enlaces simbólicos inseguros que permite a un usuario modificar los permisos de acceso de un archivo arbitrario mediante chmod, resultando en la denegación de servicio o una posible escalada de privilegios.

Las deficiencias han sido parcheadas en las siguientes versiones:

* cPanel y WHM -
* 11.136.0.9 y superiores
* 11.134.0.25 y superiores
* 11.132.0.31 y superiores
* 11.130.0.22 y superiores
* 11.126.0.58 y superiores
* 11.124.0.37 y superiores
* 11.118.0.66 y superiores
* 11.110.0.116 y superiores
* 11.110.0.117 y superiores
* 11.102.0.41 y superiores
* 11.94.0.30 y superiores
* 11.86.0.43 y superiores
* WP Squared -
* 11.136.1.10 y superiores

cPanel ha lanzado la versión 110.0.114 como una actualización directa para los clientes que aún utilizan CentOS 6 o CloudLinux 6. Se recomienda a los usuarios actualizarse a las versiones más recientes para una protección óptima.

Aunque no hay evidencia de que las vulnerabilidades hayan sido explotadas en entornos reales, la divulgación ocurre pocos días después de que otro fallo crítico en el producto (CVE-2026-41940) fuera utilizado por actores de amenazas como un zero-day para entregar variantes de la botnet Mirai y una cepa de ransomware llamada Sorry.

Fuente:
THN