Alerta de Vulnerabilidade - cPanel & WHM

A cPanel publicou um boletim de segurança a 22 de setembro de 2026 que corrige três vulnerabilidades que comprometem o isolamento entre contas em servidores de alojamento partilhado [1][2].

• CVE-2026-87899 (cPanel, CalDAV/CardDAV). CVSS 9.4, CWE-250. Execução com privilégios desnecessários: um titular de conta cPanel autenticado escala privilégios e executa código como utilizador root, com potencial controlo total do servidor. Afeta a versão 120 e posteriores [1][3].
• CVE-2026-68490 (cPanel, CalDAV/CardDAV). CVSS 8.2, CWE-732. Atribuição de permissões incorreta que permite a um utilizador local do servidor ler os calendários e contactos de outras contas cPanel; a exploração é apenas de leitura e não permite alterar os dados nem o acesso root. Afeta a versão 120 e posteriores [2][4].
• CVE-2026-87900 (WP Toolkit). CVSS 9.4, injeção de argumentos (CWE-88). Injeção de argumentos no tratamento do comando de criação de bases de dados do WP Toolkit que permite a um utilizador cPanel autenticado modificar bases de dados pertencentes a outras contas. Afeta o wp-toolkit-cpanel 6.11.2-10794 e anteriores [5].

As três vulnerabilidades comprometem o isolamento entre contas num servidor de alojamento partilhado. O CVE-2026-87899 e o CVE-2026-87900 exigem uma conta cPanel autenticada; o CVE-2026-68490 exige um utilizador local no servidor. Nenhuma requer interação do utilizador [1][2][5].

O impacto vai da execução de código como root e controlo total do servidor (CVE-2026-87899), à modificação das bases de dados de outras contas (CVE-2026-87900) e à leitura dos calendários e contactos de outras contas (CVE-2026-68490), com exposição de dados pessoais [1][2][5].

Recomenda-se a atualização para as versões corrigidas [1][2][6]:

• cPanel & WHM (CVE-2026-87899 e CVE-2026-68490): 11.134.0.57, 11.136.0.41, 11.138.0.8 ou WP Squared 11.138.1.11, ou posteriores
• WP Toolkit (CVE-2026-87900): componente wp-toolkit-cpanel 6.11.3 ou posterior, atualizado separadamente

Medidas adicionais de mitigação e deteção:

• As versões 120 a 133, embora afetadas, não têm build corrigido listado; migrar para uma das linhas corrigidas (134, 136 ou 138) [6].
• Não existe workaround temporário para o cPanel & WHM; a atualização é a única resolução. A atualização corrige também as permissões de calendário e contactos das contas existentes [1][2][6].
• Atualizar o cPanel & WHM em WHM, em Home / cPanel / Upgrade to Latest Version, ou com /usr/local/cpanel/scripts/upcp --force como root; o WP Toolkit exige a sua própria atualização para 6.11.3 [6].
• Após a atualização, confirmar as versões instaladas do cPanel & WHM e do wp-toolkit-cpanel e rever as permissões de calendário e contactos das contas.

[1] - https://support.cpanel.net/hc/en-us/articles/43591715125271
[2] - https://support.cpanel.net/hc/en-us/articles/43502940099991
[3] - https://www.cve.org/CVERecord?id=CVE-2026-87899
[4] - https://www.cve.org/CVERecord?id=CVE-2026-68490
[5] - https://www.cve.org/CVERecord?id=CVE-2026-87900
[6] - https://thehackernews.com/2026/09/new-cpanel-flaw-lets-hosting-account_0272795595.html