Se ha detectado una vulnerabilidad crítica (CVE-2026-48172) en el plugin de cPanel de LiteSpeed que permite ejecutar scripts como root. El fallo afecta a las versiones 2.3 hasta 2.4.4 y ya está siendo explotado activamente. Se recomienda actualizar urgentemente a la versión 2.4.7 o desinstalar el plugin para mitigar el riesgo.





Una vulnerabilidad de seguridad de severidad máxima que afecta al plugin de cPanel para el usuario final de LiteSpeed está siendo explotada activamente.

El fallo, identificado como CVE-2026-48172 (puntuación CVSS: 10.0), se relaciona con un caso de asignación incorrecta de privilegios que un atacante podría abusar para ejecutar scripts arbitrarios con permisos elevados.

"Cualquier usuario de cPanel (incluyendo un atacante o una cuenta comprometida) puede explotar la función lsws.redisAble para ejecutar scripts arbitrarios como root", afirmó LiteSpeed en su blog.

La vulnerabilidad afecta a todas las versiones del plugin entre la 2.3 y la 2.4.4. El plugin WHM de LiteSpeed no está afectado. El problema ha sido solucionado en la versión 2.4.5. Se ha acreditado al investigador de seguridad David Strydom el descubrimiento y reporte del fallo.

LiteSpeed señaló que la "vulnerabilidad está siendo explotada activamente", pero evitó compartir detalles adicionales. Ha compartido el siguiente indicador de compromiso:

grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null

Si al ejecutar el comando "grep" mencionado anteriormente no se produce ningún resultado, tu servidor no está afectado. Sin embargo, si hay algún resultado, se te recomienda examinar las direcciones IP de la lista y determinar si son legítimas y, si no lo son, bloquearlas.

Tras una revisión de seguridad de sus plugins de cPanel y WHM a raíz de la vulnerabilidad, LiteSpeed dijo que ha parcheado vectores de ataque potenciales adicionales en ambos plugins y ha lanzado la versión 2.4.7 del plugin de cPanel junto con la versión 5.3.1.0 del plugin WHM.

Se te recomienda actualizar al plugin LiteSpeed WHM versión 5.3.1.0, que viene con el plugin de cPanel v2.4.7 o superior, para parchear la vulnerabilidad. Si el parcheo inmediato no es una opción, se recomienda eliminar el plugin del usuario final ejecutando el siguiente comando:

/usr/local/lsws/admin/misc/lscmctl cpanelplugin --uninstall

Este desarrollo ocurre semanas después de que se identificara una vulnerabilidad crítica de cPanel (CVE-2026-41940, puntuación CVSS: 9.8) que estaba siendo explotada activamente por actores de amenazas desconocidos para desplegar variantes de la botnet Mirai y una cepa de ransomware llamada Sorry.

Fuente:
THN