Una vulnerabilidad recién revelada en cPanel y WHM, el software de panel de control de hosting web ampliamente utilizado, podría permitir que un usuario autenticado con bajos privilegios tome el control a nivel de root de un servidor completo.

Identificada como CVE-2026-65643, el fallo reside en la funcionalidad de estacionamiento de dominios de cPanel y fue detallada públicamente en un aviso publicado el 27 de agosto de 2026 por el ingeniero de soporte de cPanel, Devon Courtney.

Según el aviso, cualquier titular de una cuenta de cPanel autenticada que tenga permiso para añadir dominios estacionados o complementarios puede explotar el error para crear archivos arbitrarios en cualquier lugar del servidor subyacente.

La vulnerabilidad de cPanel permite la toma total de la cuenta

El estacionamiento de dominios es una función rutinaria que permite a los clientes de hosting dirigir nombres de dominio adicionales a un sitio web existente sin configurar una cuenta separada, lo que significa que la funcionalidad afectada está habilitada en prácticamente todos los entornos de hosting compartido y de revendedor que ejecutan cPanel.

Debido a que el fallo permite la creación de archivos arbitrarios, un atacante no necesita habilidades avanzadas de explotación ni errores adicionales encadenados para abusar de ello; solo necesita un inicio de sesión legítimo de nivel bajo en cPanel, algo que se obtiene fácilmente a través de un plan de hosting compartido barato o una cuenta de cliente comprometida.

El verdadero peligro reside en lo que permite esa creación de archivos arbitrarios. cPanel confirma que la explotación exitosa conduce a la ejecución de código como usuario root, entregando efectivamente al atacante las llaves de toda la máquina.

En un servidor de hosting compartido, esa única cuenta comprometida no es el único riesgo; todos los demás sitios web, bases de datos y cuentas de correo electrónico alojados en la misma máquina quedan expuestos.

Para los proveedores de hosting que operan una infraestructura multi-inquilino, un solo cliente malicioso o comprometido podría pivotar desde su propia cuenta limitada hacia una toma total del servidor, pudiendo desfigurar sitios, robar datos de clientes, desplegar malware o utilizar el servidor como plataforma de lanzamiento para más ataques a través de la red del proveedor.

cPanel afirma que la vulnerabilidad afecta a todas las versiones compatibles actualmente de cPanel y WHM. La empresa ha lanzado versiones parcheadas en cada nivel de lanzamiento activo: versión 11.110.0.141 o posterior, 11.134.0.53 o posterior, 11.136.0.37 o posterior, y 11.138.0.2 o posterior, junto con la build WP2 11.138.1.7 o posterior para los servidores que utilizan esa vía de actualización.

Los administradores que utilicen ramas antiguas que ya han llegado al final de su vida útil no están cubiertos por estas correcciones y permanecen expuestos a menos que primero actualicen a una versión compatible.

Dado que la explotación requiere solo una cuenta autenticada con privilegios de estacionamiento de dominios, los proveedores de hosting y los administradores de sistemas deben tratar esto como un parche urgente y de alta prioridad.

cPanel normalmente lanza actualizaciones automáticas, pero los administradores que gestionen políticas de actualización manual o cronogramas de despliegue personalizados deben verificar su número de build frente a las versiones parcheadas inmediatamente y aplicar las actualizaciones sin demora.

Los proveedores también deberían revisar qué cuentas de clientes tienen permiso para añadir dominios estacionados o complementarios y considerar restringir temporalmente esa capacidad en los servidores que esperan el despliegue del parche.

Dada la dominancia de cPanel en el hosting compartido y de revendedores, el tiempo entre la divulgación pública y los intentos de explotación masiva suele ser corto, lo que hace que el parcheo rápido sea la defensa más efectiva contra esta vulnerabilidad.