Se han detectado múltiples fallos de seguridad en cPanel y WHM que podrían permitir a los atacantes ejecutar scripts maliciosos en la sesión del navegador de un administrador o ejecutar comandos arbitrarios como root. Estas vulnerabilidades afectan a todas las versiones compatibles anteriores a las actualizaciones de seguridad lanzadas por el proveedor el 29 de septiembre de 2026, por lo que se recomienda a los administradores actualizar sus sistemas inmediatamente.

Múltiples fallos de seguridad en cPanel & WHM podrían permitir que los atacantes ejecuten scripts maliciosos en la sesión del navegador de un administrador o ejecuten comandos arbitrarios como root. Las vulnerabilidades fueron reveladas el 29 de septiembre de 2026 y afectan a todas las versiones compatibles de cPanel & WHM anteriores a las versiones parcheadas del proveedor.

Debes actualizar inmediatamente, ya que un ataque exitoso contra el fallo de ejecución de comandos podría exponer cada cuenta de hosting, sitio web, base de datos y servicio alojado en una máquina afectada. El problema más grave, CVE-2026-93698, afecta al componente Multilang adminbin y puede resultar en el compromiso total del servidor.

CVE-2026-93029 es una vulnerabilidad de cross-site scripting (XSS) almacenada en la interfaz WHM Manage SSL Hosts. Un titular de cuenta sin privilegios podría ser capaz de almacenar contenido de scripts maliciosos que se ejecutan cuando un administrador de WHM visualiza posteriormente la interfaz afectada.

Debido a que el script se ejecuta dentro de la sesión autenticada del navegador del administrador, un atacante podría potencialmente realizar acciones con los mismos permisos disponibles para ese administrador. Esto puede incluir la modificación de la configuración del servidor, la gestión de cuentas o el cambio de configuraciones relacionadas con SSL.

Un segundo problema de XSS almacenado, rastreado como CVE-2026-93697, afecta a la interfaz WHM Mass Modify Accounts. Al igual que la vulnerabilidad de Manage SSL Hosts, la explotación requiere almacenar contenido malicioso y abrirlo más tarde como administrador de WHM. El fallo permite que el código se ejecute en el contexto de la sesión del administrador, permitiendo acciones administrativas en nombre del usuario objetivo.

Múltiples Vulnerabilidades de Cpanel/WHM

La vulnerabilidad más seria es CVE-2026-93698, causada por una validación insuficiente en el componente Multilang adminbin. Según el aviso de cPanel, esta debilidad permite la ejecución de comandos arbitrarios. Puede conducir a la ejecución de código como usuario root.

La ejecución de comandos a nivel de root representa un riesgo mayor en entornos de hosting compartido y servidores gestionados. Un atacante con acceso root puede leer o alterar datos de todas las cuentas alojadas, instalar malware persistente, crear usuarios no autorizados, robar credenciales, desactivar herramientas de seguridad y modificar las configuraciones del servidor.

A diferencia de las dos vulnerabilidades XSS, que dependen de que un administrador vea contenido malicioso almacenado, el fallo de Multilang adminbin se refiere directamente a la ejecución de comandos. Tus equipos de seguridad deben tratarlo como una prioridad de parcheo urgente porque el compromiso del servidor subyacente puede afectar a cada cliente y carga de trabajo que se ejecute en el sistema.

No se identificó ningún código de explotación de prueba de concepto (PoC) público en la información de seguimiento de vulnerabilidades disponible en el momento del informe. Sin embargo, la disponibilidad de los detalles del aviso técnico puede aumentar el interés de los atacantes, particularmente donde las interfaces de WHM expuestas a Internet no han sido actualizadas.

Todas las versiones compatibles de cPanel & WHM están afectadas hasta que se actualicen a 11.110.0.148, 11.134.0.61, 11.136.0.45, 11.138.0.11, o WP2 11.138.1.13, o posteriores. El mismo conjunto de versiones parcheadas se aplica a CVE-2026-93029, CVE-2026-93697 y CVE-2026-93698, según la información de versión del producto revelada.

Debes actualizar cPanel & WHM a la última versión parcheada disponible lo antes posible. Tu organización también debería revisar la actividad del administrador de WHM, los cambios en las cuentas, los registros de autenticación, los usuarios privilegiados recién creados, las tareas cron y las modificaciones inesperadas en la configuración del servidor o de las cuentas de hosting.

Restringe el acceso a WHM mediante reglas de firewall, acceso VPN, listas blancas de IP y autenticación de múltiples factores. Los proveedores de hosting también deben revisar los privilegios concedidos a los titulares de cuentas de nivel inferior e investigar cualquier entrada sospechosa enviada a través de la gestión de hosts SSL, la modificación de cuentas o las funciones relacionadas con Multilang.

Fuentes:
https://cybersecuritynews.com/multiple-cpanel-whm-vulnerabilities/