Se ha revelado una vulnerabilidad en Plesk Backup Manager (identificada como CVE-2026-68488) que permite a usuarios con bajos privilegios escalar sus permisos y obtener acceso total de root en servidores Linux afectados. El fallo se debe a una condición de carrera de enlaces simbólicos (symlink race condition) durante la restauración de contenidos de suscripción, afectando a las instalaciones de Plesk Obsidian en versiones 18.0.80.6 y anteriores.

Una vulnerabilidad recién revelada en Plesk Backup Manager podría permitir que usuarios con pocos privilegios escalen privilegios y obtengan acceso total de root en los servidores Linux afectados.

Identificada como CVE-2026-68488, el fallo se deriva de una condición de carrera de enlaces simbólicos (symlink race condition) durante las operaciones de restauración de contenido de suscripciones.

El problema afecta a las instalaciones de Plesk Obsidian que ejecutan Plesk para Linux en las versiones 18.0.80.6 y anteriores, así como la 18.0.79.10 y anteriores. Plesk para Windows no se ve afectado.

Según Plesk, la vulnerabilidad existe en el flujo de trabajo del Administrador de Copias de Seguridad utilizado para restaurar el contenido perteneciente a la suscripción de un cliente. Un usuario con acceso ordinario al Panel de Plesk y acceso FTP a su propia suscripción alojada puede explotar una condición de carrera que involucra enlaces simbólicos (symlinks).

Los symlinks son objetos del sistema de archivos que apuntan a otro archivo o directorio. En este caso, un atacante puede intentar reemplazar o manipular una ruta durante el proceso de restauración para que Plesk cambie la propiedad de un archivo o directorio fuera de la suscripción asignada al atacante.

Fallo en Plesk Backup Manager

Debido a que las operaciones de restauración pueden ejecutarse con privilegios elevados, una carrera exitosa podría permitir que el atacante cambie la propiedad de archivos que deberían ser inaccesibles.

Obtener el control sobre un archivo o directorio sensible podría aprovecharse entonces para lograr un acceso completo a nivel de root en el servidor Linux subyacente.

La vulnerabilidad es particularmente significativa para entornos de alojamiento compartido, servidores gestionados y despliegues de Plesk multi-inquilino. En tales configuraciones, los clientes suelen recibir permisos limitados de Panel y FTP.

No deberían ser capaces de interactuar con los archivos del sistema operativo, las suscripciones de otros clientes o los recursos administrativos. El CVE-2026-68488 rompe ese límite de seguridad al permitir potencialmente que una cuenta de cliente afecte a archivos fuera de su propio entorno de alojamiento.

Un atacante necesitaría acceso válido a una suscripción de Plesk, lo que significa que el fallo no es una vulnerabilidad de ejecución remota de código no autenticada. Sin embargo, el impacto sigue siendo grave porque una explotación exitosa puede resultar en el compromiso total del servidor.

Plesk ha publicado versiones parcheadas para las ramas afectadas del producto en Linux. Las organizaciones que utilicen la línea de lanzamiento 18.0.80 deben actualizar a Plesk Obsidian 18.0.80.7 o posterior. Quienes utilicen la rama 18.0.79 deben actualizar a la versión 18.0.79.11 o posterior.

Debes priorizar el parcheo de los servidores Plesk orientados a internet y multi-inquilino, especialmente en sistemas donde los clientes tienen acceso FTP y pueden activar funciones relacionadas con la copia de seguridad o restauración.

Los proveedores de alojamiento también deberían revisar las cuentas de usuario de Plesk, los permisos de suscripción y la actividad reciente de restauración en busca de cambios de propiedad inesperados.

Los equipos de seguridad pueden buscar modificaciones inusuales de propiedad de archivos fuera de las raíces web de los clientes, symlinks inesperados dentro de los directorios de suscripción y actividad sospechosa que involucre operaciones de restauración del Administrador de Copias de Seguridad. Revisar los cambios privilegiados del sistema de archivos y los registros de autenticación puede ayudarte a identificar intentos de explotación.

Plesk acreditó a los investigadores de seguridad Ali Mustafa, también conocido como rz1027, y abed1526 por informar la vulnerabilidad de manera responsable. El proveedor aconseja a los clientes actualizar Plesk Obsidian a la última compilación disponible lo antes posible.