A cPanel corrigiu uma falha que permitia a um cliente autenticado de hospedagem executar SQL no contexto de root do banco de dados, rompendo a barreira de privilégios entre uma conta cPanel e a identidade administrativa do servidor no banco.
A correção foi incluída em uma atualização de segurança direcionada, que também fecha outras duas rotas para contornar limites de conta.
O erro no banco é rastreado como
CVE-2026-58048
, com pontuação CVSS 4.0 de 9,4, e afeta todas as versões suportadas de cPanel & WHM, além do WP Squared.
Para explorá-lo, é preciso ter uma conta cPanel válida e acesso ao recurso MySQL/MariaDB.
A partir daí, a empresa afirma que o titular da conta poderia executar comandos arbitrários no banco com privilégios administrativos completos.
Dependendo do sistema operacional e da configuração do mecanismo de banco, isso pode se estender a uma invasão no nível do sistema operacional.
A cPanel corrigiu o
CVE-2026-58048
nas seguintes versões:
11.110.0.137
11.118.0.71
11.126.0.78
11.134.0.48
11.136.0.32
138.1.6 para WP Squared
Servidores que não puderem ser atualizados imediatamente podem remover temporariamente o recurso MySQL dos usuários do cPanel.
Isso mantém os bancos já existentes em funcionamento, mas impede que os usuários criem ou removam bancos.
Administradores podem atualizar pelo WHM ou usar o comando documentado pela cPanel:
/usr/local/cpanel/scripts/upcp --force
O reforço da CISA em 4 de agosto registrava “Exploitation: none”, avaliava a falha como não automatizável e classificava seu impacto técnico como total.
Trata-se, porém, de um retrato daquele momento, sem indicar o que ocorreu nos dias seguintes.
Em operação normal, o cPanel permite privilégios no nível do banco sem exigir acesso SUPER ou autorizar modificações globais.
O
CVE-2026-58048
contorna essas limitações ao fazer o SQL ser executado no contexto administrativo do banco.
A falha está no processo de renomeação de bancos do cPanel.
O registro da CNA na HackerOne informa que o modo SQL não é preservado quando um banco é renomeado, o que faz o SQL ser executado no contexto de root.
Segundo a documentação de bancos da empresa, o sistema cria um banco substituto, transfere os dados originais, recria permissões e código armazenado e, por fim, remove o banco antigo e suas permissões.
No comunicado, a empresa classifica o problema como escalonamento de privilégio e não usa a expressão SQL injection.
Já a CNA enquadra o mesmo defeito como CWE-89, SQL injection.
Os dois registros descrevem o mesmo bug por ângulos diferentes.
Nem o comunicado nem o registro do CVE identificam a entrada injetada, o modo SQL afetado ou o payload exato.
Também não esclarecem se as subcontas Team User, os logins com permissões limitadas que o dono da conta pode criar, se encaixam na descrição de cliente autenticado caso tenham acesso ao banco.
A classificação Crítica é uma medida de severidade.
Ela não informa quantos servidores têm alguém em posição de usar a falha, e, neste caso, esse universo depende de quem possui contas na máquina: um servidor cujas contas pertencem todas à mesma empresa é uma situação diferente de outro que vende contas a desconhecidos.
A fronteira, porém, não é absoluta, já que contas podem ser alvo de phishing ou revendidas.
E isso também não reduz a consequência, que a CISA avaliou como total.
Mais duas falhas na mesma versão
O
CVE-2026-58047
, com pontuação CVSS 4.0 de 5,6, é uma falha de HTTP request-smuggling no cpsrvd, o daemon que atende as interfaces do cPanel e do WHM.
Em condições limitadas, um atacante remoto sem autenticação pode manipular respostas entregues a outros usuários no mesmo servidor.
O registro da CNA afirma que credenciais podem vazar como resultado.
Quando a correção precisar esperar, a alternativa é desativar a reutilização de conexões de backend definindo cpsrvd_keepalives_disabled=1 em /var/cpanel/cpanel.config e reiniciando o cpsrvd.
A cPanel diz que isso força uma nova conexão TCP e TLS para cada requisição nas portas 2083, 2087 e 2096, aumentando a latência e o uso de CPU em servidores com muita carga.
A empresa atribui o relato dos dois CVEs a Vincent55 Yang.
O terceiro comunicado da cPanel trata do GCVE-25-2026-07-45-3 no Exim.
Um arquivo .forward de um usuário local pode acionar expansão de string insegura no roteador de redirecionamento, sob certas configurações de pipe-transport.
Na configuração padrão do cPanel, a expansão e a execução ocorrem como o usuário cPanel, o que, segundo a empresa, pode permitir escalonamento de privilégio a partir de subcontas Team User.
O comunicado do Exim diz que a exploração exige um roteador de redirecionamento com tratamento de .forward, um pipe transport acessível, force_command habilitado nesse transport e execução como um usuário privilegiado.
O Exim 4.99.5 remove a expansão vulnerável.
O Exim 4.99.5 também corrige o GCVE-25-2026-07-45-1, uma falha de alta severidade de traversia de diretório local por meio de argumentos de linha de comando de queue-name.
Segundo o Exim, a falha pode acessar arquivos fora da área spool e ser usada para escalonamento de privilégio.
Os próprios comunicados da cPanel divergem sobre quais versões recebem a correção.
O aviso sobre o banco lista a versão 11.118.0.71 entre as compilações corrigidas, mas os avisos sobre request-smuggling e Exim, publicados na mesma atualização, deixam a ramificação 11.118 fora das listas.
Quem estiver nessa linha deve conferir a versão pontual instalada no aviso do banco, e não confiar apenas nas listas menores.
Nenhum dos comunicados do Exim nomeia um pesquisador.
Ambos creditam “os autores sem nome e sem crédito cujos trabalhos foram incorporados ao corpus de treinamento”.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...