02
Sep 2026
Alerta de Vulnerabilidade - cPanel & WHM
TIPO
Vulnerabilidade
SISTEMAS AFETADOS
cPanel & WHM
ECOSSISTEMA
Outro
Descrição
Um titular de conta autenticado com permissão para adicionar domínios parqueados ou addon consegue, através desta funcionalidade, criar ficheiros arbitrários no servidor cujo conteúdo é avaliado dinamicamente como código, permitindo a execução de código como utilizador root [1][2].
São afetadas todas as versões suportadas do cPanel & WHM, até à versão 11.138.0.0 e anteriores [1][2].
Impacto
Nas configurações afetadas, um atacante remoto autenticado, com uma conta de baixo privilégio que disponha de permissão para adicionar domínios parked ou addon, explora a funcionalidade de domain parking sem qualquer interação do utilizador [1][2].Ao criar um ficheiro cujo conteúdo é avaliado como código, o atacante obtém execução de código ao nível de utilizador root [2][3]. Num servidor de alojamento partilhado, passa assim a controlar todo o servidor e todas as contas, sítios e bases de dados nele alojados [1].
Resolução
Recomenda-se a atualização para a versão corrigida da respetiva ramificação [1]:- cPanel & WHM 11.110: 11.110.0.141 ou posterior
- cPanel & WHM 11.134: 11.134.0.53 ou posterior
- cPanel & WHM 11.136: 11.136.0.37 ou posterior
- cPanel & WHM 11.138: 11.138.0.2 ou posterior
- WP Squared (WP2): 11.138.1.7 ou posterior
- Como contenção temporária até à atualização, restringir ou desativar a criação de novos domínios parked e addon nas contas.
- Rever as permissões das contas para adicionar domínios parked e addon, limitando-as ao estritamente necessário.
- Monitorizar os logs do servidor para criação de ficheiros invulgar e para operações de domain parking não esperadas.
Referências
[1] - https://support.cpanel.net/hc/en-us/articles/42959571221527-Security-CVE-2026-65643-Vulnerability-in-cPanel-s-Domain-Parking-Functionality-August-27-2026[2] - https://www.cve.org/CVERecord?id=CVE-2026-65643
[3] - https://euvd.enisa.europa.eu/vulnerability/CVE-2026-65643