Vulnerabilidad crítica en cPanel permite escalar a root
Segu-Info · 25 sept, 14:32
cPanel publicó avisos sobre tres vulnerabilidades críticas en su plataforma de alojamiento que permiten a usuarios autenticados escalar privilegios a root y acceder a bases de datos de otros sitios. Las fallas residen en los componentes CalDAV y CardDAV, así como en WP Toolkit, y afectan a entornos de alojamiento compartido. Aunque no hay constancia de explotaciones activas ni PoC públicos, los administradores deben aplicar de inmediato la actualización a la versión 11.138.0.8 o posterior.
La vulnerabilidad principal (CVE-2026-87899) reside en el manejo de CalDAV y CardDAV: un usuario autenticado puede escalar sus privilegios a root explotando tareas en segundo plano que no depuran adecuadamente la entrada del usuario. Una segunda falla (CVE-2026-68490) es un problema de permisos en el almacenamiento CalDAV y CardDAV que permite a usuarios locales en el mismo servidor acceder a datos de calendario y contactos de otras cuentas. Una tercera vulnerabilidad (CVE-2026-87900) en WP Toolkit rompe el aislamiento entre usuarios al gestionar incorrectamente los comandos de creación de bases de datos, permitiendo a un usuario autenticado de cPanel alterar bases de datos de otras cuentas.
Las vulnerabilidades afectan a cPanel y WHM en versión 120 y posteriores, así como a WP Toolkit en versión 6.11.2-10794 y anteriores. El riesgo es particularmente grave en entornos de alojamiento compartido donde múltiples usuarios comparten infraestructura. Aunque los investigadores no han confirmado explotaciones activas, la capacidad de escalar a root hace que estas fallas requieran atención inmediata.
Puntos clave
- Escala de privilegios a root mediante CalDAV y CardDAV (CVE-2026-87899)
- Fuga de datos de calendario y contactos entre usuarios (CVE-2026-68490)
- Manipulación de bases de datos de otros usuarios mediante WP Toolkit (CVE-2026-87900)
- Actualizar cPanel y WHM a versión 11.138.0.8 o posterior inmediatamente
- Sin explotaciones activas confirmadas ni PoC público disponible