O cPanel informou que a combinação de duas vulnerabilidades no plugin LiteSpeed permitia a um usuário cPanel autenticado elevar privilégios até root. O advisory destaca que a cadeia também funcionava em servidores com CloudLinux e CageFS. O web server LiteSpeed pode continuar operando sem o plugin de interface do usuário enquanto a correção é aplicada.
O que aconteceu
O plugin integra funções do LiteSpeed Web Server às interfaces WHM e cPanel. A falha não está descrita como uma vulnerabilidade genérica do protocolo HTTP, mas como uma cadeia nos componentes do plugin. Um usuário que já controla uma conta cPanel vulnerável podia atravessar o limite entre a conta e a administração do host.
Isso é importante porque CageFS e limites LVE são camadas de isolamento, não uma autorização para ignorar patches. Se um componente privilegiado expõe uma operação insegura, a cadeia pode saltar as fronteiras que normalmente separam contas. O impacto root permite acesso a sites, bancos, e-mails, chaves e configurações de todo o servidor.
Versões afetadas e versões corrigidas
| Componente | Afetado | Corrigido |
|---|---|---|
| LiteSpeed WHM Plugin | 5.3.1 e anteriores | 5.3.2.0 ou superior |
| LiteSpeed User-End Plugin para cPanel | versões anteriores ao release coordenado | 2.4.8 ou superior |
O servidor só entra neste cenário se o plugin LiteSpeed estiver instalado. Usar Apache sem LiteSpeed, ou LiteSpeed sem o plugin afetado, muda a exposição. Ainda assim, confirme por inventário em vez de presumir pelo logotipo do painel.
Nível de risco
Crítico para servidores que oferecem o plugin vulnerável a contas cPanel. A exploração exige autenticação, mas uma conta de cliente não deveria alcançar root. Em ambientes multiusuário, credencial comprometida, site invadido ou usuário malicioso podem fornecer o ponto de partida.
Como verificar o servidor
Confirme a presença do web server, pacotes e diretórios do plugin:
/usr/local/lsws/bin/lshttpd -v 2>/dev/null
rpm -qa | grep -Ei 'litespeed|lsws'
ls -ld /usr/local/lsws/admin/misc /usr/local/cpanel/whostmgr/docroot/cgi/lsws 2>/dev/null
/usr/local/lsws/admin/misc/lscmctl -v 2>/dev/nullA forma de exibir a versão do plugin varia entre releases. No WHM, abra Plugins > LiteSpeed Web Server e registre separadamente a versão do WHM Plugin e do User-End Plugin. Não confunda a versão do servidor LSWS com a do plugin: atualizar apenas o binário do web server pode não corrigir a integração vulnerável.
Se o WHM Plugin é 5.3.1 ou anterior, trate como vulnerável. Se a interface do usuário mostra versão anterior a 2.4.8, atualize o conjunto. Registre também se o User-End Plugin aparece para contas comuns.
Correção, mitigação e validação
O cPanel orientou atualizar o LiteSpeed com:
/usr/local/lsws/admin/misc/lsup.shDepois, reabra a interface e confirme WHM Plugin 5.3.2.0+ e User-End Plugin 2.4.8+. Verifique logs do instalador, estado do serviço, sites HTTP/HTTPS, PHP handlers, cache e integração com o painel.
Quando a atualização imediata não for possível, a mitigação indicada é remover o User-End Plugin:
/usr/local/lsws/admin/misc/lscmctl cpanelplugin --uninstallIsso não desliga o LiteSpeed Web Server, segundo o advisory. Mesmo assim, faça backup da configuração, registre o estado anterior e teste o painel. Reinstale somente uma versão corrigida.
Medidas adotadas pela WebinHost
A WebinHost inclui plugins privilegiados no inventário da plataforma e trata a interface LiteSpeed separadamente da versão do web server. Nos ambientes gerenciados aplicáveis, o processo é atualizar ou remover temporariamente o User-End Plugin, validar o serviço e revisar sinais de alteração. CloudLinux, CageFS e Imunify360 permanecem camadas úteis, porém o próprio fabricante confirmou que não bloqueavam esta cadeia específica.
Nos serviços em que o gerenciamento da camada de servidor faz parte do contrato, o fluxo da WebinHost inclui acompanhamento dos canais de segurança dos fornecedores, inventário do componente, avaliação de exposição, aplicação controlada da correção disponível e validação posterior. Quando o kernel e a distribuição são compatíveis, o KernelCare reduz a janela de exposição ao aplicar live patches sem aguardar uma reinicialização; quando a correção exige um novo kernel ou o fornecedor não oferece live patch, a equipe planeja a atualização e o reboot conforme o risco e a janela operacional.
O Imunify360 complementa essa resposta com firewall de aplicação, detecção de malware, defesa proativa e inteligência de reputação nos planos elegíveis. Essas camadas ajudam a bloquear ou detectar tentativas, mas não substituem a correção do pacote vulnerável. CloudLinux e CageFS também aumentam o isolamento entre contas, sem transformar uma versão desatualizada em versão segura.
Tutoriais, downloads e serviços relacionados
Use estes materiais para continuar a verificação com segurança:
Referências oficiais
- cPanel — Security: LiteSpeed cPanel Plugin, May 31, 2026
- LiteSpeed — documentação da integração com cPanel
Nota técnica: distribuições Linux e painéis frequentemente aplicam backports. O número exibido por um pacote pode ser diferente da versão upstream e ainda conter a correção. Compare sempre o pacote com o advisory da distribuição ou do painel. Não execute prova de conceito em produção; os comandos deste boletim são de inventário e verificação.
Assistente IA WGS