cPanel ha corregido tres vulnerabilidades críticas, destacando la CVE-2026-58048 que permitía a usuarios autenticados ejecutar comandos SQL con privilegios de administrador y comprometer el sistema operativo. También se solucionó un problema de contrabando de solicitudes HTTP y una falla de escalada de privilegios en Exim. Se recomienda actualizar inmediatamente a las versiones parcheadas o aplicar las mitigaciones temporales sugeridas.





 cPanel ha corregido un fallo que permitía a un cliente de hosting autenticado ejecutar SQL en el contexto raíz de la base de datos, superando el límite de privilegios entre una cuenta de cPanel y la identidad administrativa de la base de datos del servidor. Se distribuyó en un lanzamiento de seguridad específico que cierra otras dos rutas que superaban los límites de la cuenta.

El error de la base de datos está registrado como CVE-2026-58048 (puntuación CVSS 4.0: 9.4) y afecta a todas las versiones compatibles de cPanel & WHM, junto con WP Squared. Para explotarlo, necesitas una cuenta de cPanel válida y acceso a la función MySQL/MariaDB. Desde ahí, el proveedor afirma que el titular de la cuenta podría ejecutar comandos arbitrarios de la base de datos con privilegios administrativos completos.

Dependiendo del sistema operativo y la configuración del motor de la base de datos, "esto podría extenderse a un compromiso a nivel de sistema operativo".

cPanel corrigió CVE-2026-58048 en estas compilaciones:

* 11.110.0.137
* 11.118.0.71
* 11.126.0.78
* 11.134.0.48
* 11.136.0.32
* 138.1.6 para WP Squared

Los servidores que no puedan actualizarse inmediatamente pueden revocar temporalmente la función MySQL de los usuarios de cPanel. Esto deja las bases de datos existentes funcionando, pero impide que los usuarios añadan o eliminen bases de datos. Los administradores pueden actualizar desde WHM o utilizar el comando documentado por cPanel aquí:

/usr/local/cpanel/scripts/upcp --force

El enriquecimiento de CISA del 4 de agosto registrado indicó "Explotación: ninguna", evaluó el fallo como no automatizable y calificó su impacto técnico como total. Eso es una instantánea y no dice nada sobre los días transcurridos desde entonces.

En funcionamiento normal, cPanel admite privilegios a nivel de base de datos que no requieren acceso SUPER ni permiten modificaciones globales. CVE-2026-58048 elude esos límites haciendo que SQL se ejecute en el contexto administrativo de la base de datos.

El fallo reside en el proceso de renombrado de base de datos de cPanel. El registro CNA de HackerOne indica que el modo SQL no se preserva cuando se renombra una base de datos, lo que provoca que SQL se ejecute en el contexto de root. Según la documentación de bases de datos de la compañía aquí, el sistema crea una base de datos de sustitución, mueve los datos originales, recrea los permisos y el código almacenado, y luego elimina la base de datos antigua y sus permisos.

El aviso del proveedor titula el problema como una escalada de privilegios y no utiliza las palabras "inyección SQL". El CNA clasifica el mismo defecto como CWE-89, inyección SQL. Los dos registros describen un mismo error desde ángulos diferentes. El aviso y el registro CVE no identifican la entrada inyectada, el modo SQL afectado ni el payload exacto. Tampoco dice si las subcuentas de Team User, los inicios de sesión limitados por roles que puede crear el propietario de una cuenta, cumplen su descripción de un titular de cuenta autenticado si tienen acceso a la base de datos.

Una calificación "Crítica" es una medida de severidad. No indica cuántos servidores tienen a alguien en posición de usar el fallo, y aquí esa población está determinada por quién posee cuentas en el equipo: un servidor cuyas cuentas pertenecen todas a una sola empresa es una proposición diferente a uno que vende cuentas a extraños. La línea no es clara, ya que las cuentas pueden ser víctimas de phishing o revendidas. Y esto no reduce en nada la consecuencia, que CISA calificó como total.

Dos más en la misma compilación

CVE-2026-58047 aquí (puntuación CVSS 4.0: 5.6) es un problema de HTTP request-smuggling en cpsrvd, el demonio que sirve las interfaces de cPanel y WHM. Bajo condiciones limitadas, un atacante remoto no autenticado puede manipular las respuestas entregadas a otros usuarios en el mismo servidor. El registro CNA dice que las credenciales podrían filtrarse como resultado.

Donde el parche tenga que esperar, la solución temporal es desactivar la reutilización de la conexión backend configurando cpsrvd_keepalives_disabled=1 en /var/cpanel/cpanel.config y reiniciando cpsrvd. cPanel afirma que esta solución fuerza una nueva conexión TCP y TLS para cada solicitud en los puertos 2083, 2087 y 2096, aumentando la latencia y el uso de CPU en servidores congestionados. cPanel acredita a Vincent55 Yang por informar ambos CVE.

El tercer aviso de cPanel cubre GCVE-25-2026-07-45-3 en Exim. El archivo .forward de un usuario local puede provocar una expansión de cadena insegura en el enrutador de redirección bajo ciertas configuraciones de transporte de tubería (pipe-transport). Bajo la configuración predeterminada de cPanel, la expansión y ejecución ocurren como el usuario de cPanel, lo que la compañía dice que podría permitir la escalada de privilegios desde las subcuentas de Team User.

El aviso de Exim indica que la explotación requiere un enrutador de redirección que proporcione manejo de .forward, un transporte de tubería accesible, force_command habilitado en ese transporte y ejecución como usuario privilegiado. Exim 4.99.5 elimina la expansión vulnerable.

Exim 4.99.5 también corrige GCVE-25-2026-07-45-1 , un salto de directorio local de severidad alta a través de argumentos de línea de comandos de queue-name. Exim dice que el fallo puede acceder a archivos fuera del área de spool y ser usado para la escalada de privilegios.

Los propios avisos de cPanel discrepan sobre qué compilaciones llevan la corrección. El aviso de la base de datos enumera la compilación 11.118.0.71 entre los lanzamientos parcheados; los avisos de request-smuggling y Exim, publicados en el mismo lanzamiento, dejan la rama 11.118 fuera de sus listas por completo. Cualquiera que esté en esa rama debería comprobar el punto de lanzamiento instalado contra el aviso de la base de datos en lugar de confiar en las listas más cortas.

Ningún aviso de Exim menciona a un investigador. Cada uno acredita a "los autores anónimos y no acreditados cuyas obras fueron ingeridas como el corpus de entrenamiento".

Fuente:
THN