CVE-2026-65638 no CSF do cPanel: injeção remota de comandos no MESSENGER

A CVE-2026-65638 afeta o recurso MESSENGER do CSF instalado em servidores cPanel. Por escape incorreto de dados de URL, uma requisição preparada pode injetar comandos sem autenticação e executá-los com a conta do serviço. A configuração vulnerável não é padrão, mas todo host com CSF 14.00–16.29, MESSENGER ativo e reCAPTCHA deve ser tratado com urgência.

O que aconteceu

O MESSENGER pode apresentar uma página ao endereço bloqueado e usar reCAPTCHA para permitir desbloqueio. No caminho vulnerável, valores derivados da URL chegavam a uma chamada de sistema sem neutralização suficiente. Um atacante remoto pode construir uma requisição que altera o comando pretendido e executa instruções adicionais no contexto do processo.

São necessárias duas escolhas administrativas: ativar MESSENGER e cadastrar o segredo do reCAPTCHA. Nenhuma vem habilitada na instalação padrão informada pelo cPanel. Ainda assim, servidores antigos podem carregar a combinação há anos; procurar apenas pela versão não revela a exposição prática e olhar apenas a configuração não elimina a obrigação de corrigir o código.

Uma classificação de vulnerabilidade descreve o pior cenário plausível, não confirma que cada servidor tenha sido explorado. A análise correta separa quatro perguntas: o componente existe, a versão está no intervalo afetado, as pré-condições estão presentes e houve evidência de abuso. Essa distinção evita tanto falsa tranquilidade quanto interrupções desnecessárias.

Versões e ambientes afetados e corrigidos

MESSENGER ativo sem segredo reCAPTCHA, ou reCAPTCHA configurado com MESSENGER desativado, não satisfaz a cadeia publicada. Verifique também templates, portas do serviço e regras NAT: uma interface não intencionalmente pública pode ampliar a superfície.

Em pacotes de distribuição, o número upstream nem sempre muda quando o mantenedor aplica um backport. Por isso, a comparação deve considerar o release completo do pacote, o advisory do fornecedor e, quando aplicável, o estado do livepatch. Apenas comparar o primeiro número exibido pelo software pode produzir falso positivo.

Nível de risco e impacto

Crítico — CVSS v4.0 9,2. O ataque não exige credencial e pode executar comandos remotamente. A conta de serviço pode não ser root, mas acesso inicial em um host de hospedagem permite leitura de configuração, movimento lateral e combinação com outras falhas. A prioridade continua máxima nos servidores que satisfazem as pré-condições.

Em hospedagem, uma conta local ou um site comprometido não deve ser tratado como ator confiável. Código obtido por plugin desatualizado, credencial roubada ou upload malicioso pode satisfazer a condição “acesso local” e transformar uma falha de kernel ou painel em comprometimento de outras contas. Quando o efeito inclui root, escape, execução de PHP ou tomada de administrador, considere também bancos, chaves, tokens, e-mail e backups conectados.

Como verificar se o servidor ou site está vulnerável

Leia a versão e as opções do arquivo de configuração; não envie payloads ao serviço. Confirme também processos e portas associados ao MESSENGER, pois uma diretiva ativa com serviço parado representa risco após o próximo restart.

csf -v
grep -E '^[[:space:]]*(MESSENGER|MESSENGERV2|RECAPTCHA_SITEKEY|RECAPTCHA_SECRET)[[:space:]]*=' /etc/csf/csf.conf
ps auxww | grep -E '[c]sf.*messenger|[l]fd'
ss -lntp | grep -E ':(8887|8888)[[:space:]]'

Versão entre 14.00 e 16.29 mais MESSENGER habilitado e segredo reCAPTCHA preenchido caracteriza a exposição descrita. Não copie o segredo para chamado ou relatório. Uma porta diferente não prova segurança, e ausência de processo momentâneo não corrige a configuração persistente.

Como corrigir ou mitigar

Defina MESSENGER = "0" e reinicie CSF/LFD como mitigação temporária. Em seguida, instale CSF 16.30 ou superior pelo mecanismo oficial do cPanel. Só reative o recurso após conferir versão, templates, chaves reCAPTCHA, portas e necessidade de negócio.

sed -n '/^[[:space:]]*MESSENGER[[:space:]]*=/p' /etc/csf/csf.conf
/usr/local/cpanel/scripts/update-packages
csf -r
systemctl restart lfd
csf -v

Antes da mudança, confirme backup restaurável, acesso alternativo, espaço em disco e integridade dos repositórios. Depois, valide o serviço e a aplicação em vez de considerar o comando concluído como prova suficiente. Mitigações reduzem exposição durante a janela de manutenção, mas devem ser documentadas e removidas ou reavaliadas após o patch definitivo.

Validação posterior e resposta a incidentes

Valide acesso ao WHM, firewall, LFD e bloqueios. Examine logs web e do CSF em busca de URLs incomuns, caracteres codificados, processos filhos e conexões de saída. Se o MESSENGER vulnerável esteve exposto, revise usuários, chaves, crons, arquivos temporários e binários; faça rotação de credenciais acessíveis à conta do serviço.

Atualizar impede novas explorações pela falha conhecida, mas não remove persistência criada antes do patch. Se houver usuário inesperado, arquivo alterado, webshell, cron desconhecido, chave SSH nova, processo anormal ou acesso administrativo sem explicação, isole o ativo, preserve logs e acione resposta a incidentes. Faça rotação de segredos a partir de um equipamento confiável e só restaure o serviço depois de entender o alcance.

Medidas adotadas pela WebinHost

A WebinHost identifica automaticamente a combinação de opções, aplica desativação preventiva quando necessária e atualiza o CSF pelo repositório do cPanel, com testes de conectividade após o restart. Imunify360 pode bloquear requisições e artefatos maliciosos e o monitoramento detecta processos anormais, mas nenhuma dessas medidas substitui o CSF 16.30.

Nos serviços em que o gerenciamento da camada de servidor faz parte do contrato, o fluxo da WebinHost inclui acompanhamento dos canais de segurança dos fornecedores, inventário do componente, avaliação de exposição, aplicação controlada da correção disponível e validação posterior. Quando o kernel e a distribuição são compatíveis, o KernelCare reduz a janela de exposição ao aplicar live patches sem aguardar uma reinicialização; quando a correção exige um novo kernel ou o fornecedor não oferece live patch, a equipe planeja a atualização e o reboot conforme o risco e a janela operacional.

O Imunify360 complementa essa resposta com firewall de aplicação, detecção de malware, defesa proativa e inteligência de reputação nos planos elegíveis. Essas camadas ajudam a bloquear ou detectar tentativas, mas não substituem a correção do pacote vulnerável. CloudLinux e CageFS também aumentam o isolamento entre contas, sem transformar uma versão desatualizada em versão segura.

Referências oficiais e técnicas

• cPanel — boletim CVE-2026-65638
• CVE.org — CVE-2026-65638

Nota técnica: distribuições Linux e painéis frequentemente aplicam backports. O número exibido por um pacote pode ser diferente da versão upstream e ainda conter a correção. Compare sempre o pacote com o advisory da distribuição ou do painel. Não execute prova de conceito em produção; os comandos deste boletim são de inventário e verificação.