Falha crítica no plugin LiteSpeed para cPanel permite execução de scripts como `root`

A vulnerabilidade CVE-2026-48172, explorada ativamente, permite que qualquer usuário do cPanel acione lsws.redisAble para executar scripts com privilégios elevados em versões afetadas do LiteSpeed User-End cPanel Plugin.

Componente	LiteSpeed User-End cPanel Plugin, nas versões entre 2.3 e 2.4.4.
Vetor	Qualquer usuário do cPanel, inclusive uma conta comprometida, pode abusar da função lsws.redisAble para executar scripts arbitrários.
Impacto	Execução de scripts como root por atribuição incorreta de privilégios; a exploração ativa foi confirmada, sem detalhamento público adicional do fluxo de exploração.
Prioridade	Atualizar para LiteSpeed WHM Plugin 5.3.1.0, que inclui cPanel plugin 2.4.7 ou superior; se a atualização imediata não for possível, remover o plugin user-end.
Versões	A falha afeta o cPanel plugin de 2.3 a 2.4.4; a correção inicial está na versão 2.4.5, e a versão 2.4.7 foi publicada com endurecimentos adicionais.
Limite	O LiteSpeed WHM plugin não é impactado por CVE-2026-48172, embora vetores potenciais adicionais tenham sido corrigidos nos plugins cPanel e WHM após revisão de segurança.

Resumo técnico

A CVE-2026-48172 é uma vulnerabilidade de severidade máxima no LiteSpeed User-End cPanel Plugin causada por atribuição incorreta de privilégios. O ponto crítico é a função lsws.redisAble: quando acionada por um usuário do cPanel, ela pode permitir a execução de scripts arbitrários com privilégios de root. A condição de ataque não depende, conforme os dados disponíveis, de acesso administrativo ao WHM; qualquer usuário do cPanel aparece como possível ponto de entrada, incluindo uma conta legítima sob controle de um invasor após comprometimento prévio.

O impacto operacional é elevado porque a fronteira entre usuário de hospedagem e privilégios de sistema é quebrada. Em ambientes compartilhados ou painéis com múltiplas contas, uma única conta cPanel exposta pode se transformar em execução privilegiada no servidor. O risco confirmado é execução de scripts como root; não há base suficiente para afirmar vazamento de dados, movimentação lateral ou instalação de malware como consequência desta falha específica, embora a execução privilegiada seja uma condição que exige resposta imediata e validação completa do host.

Fluxo técnico

O fluxo técnico informado começa com um usuário autenticado no cPanel. Esse usuário pode ser legítimo, malicioso desde a criação da conta ou resultado de credenciais já comprometidas. A exploração se concentra no plugin user-end do LiteSpeed, não no plugin WHM afetado diretamente pela CVE-2026-48172. A função lsws.redisAble é descrita como o mecanismo abusável para disparar scripts arbitrários com privilégios elevados, o que indica uma falha na separação entre ações permitidas ao usuário do painel e operações executadas pelo sistema com autoridade de root.

A pré-condição prática é a presença de uma versão vulnerável do LiteSpeed User-End cPanel Plugin, especificamente entre 2.3 e 2.4.4. A correção inicial foi disponibilizada na versão 2.4.5. Depois de uma revisão de segurança nos plugins cPanel e WHM, foram publicados o cPanel plugin 2.4.7 e o WHM plugin 5.3.1.0, com correção da vulnerabilidade e fechamento de vetores potenciais adicionais. Como a exploração ativa foi confirmada sem detalhes completos de payload, rotas, arquivos ou comandos, a investigação deve priorizar evidências locais de execução privilegiada e mudanças associadas a usuários cPanel.

Superfície afetada

A superfície afetada é composta por servidores que executam o LiteSpeed User-End cPanel Plugin em versões de 2.3 a 2.4.4. A exposição é particularmente sensível em provedores de hospedagem, ambientes multiusuário e servidores administrados por cPanel nos quais contas de clientes ou aplicações possuem acesso ao painel. O WHM plugin não é apontado como afetado por está CVE, mas a recomendação de atualização passa pelo pacote do LiteSpeed WHM Plugin 5.3.1.0, que inclui o cPanel plugin 2.4.7 ou superior.

A existência de exploração ativa muda a ordem de resposta: não basta planejar atualização em janela longa. Sistemas com o plugin vulnerável devem ser tratados como candidatos a comprometimento até que logs, alterações em arquivos, execuções como root e contas cPanel sejam revisados. A ausência de saída em uma verificação baseada em grep é mencionada como indicador de que o servidor não estaria afetado por aquele padrão específico; quando houver saída, os endereços IP listados devem ser avaliados e bloqueados se não forem legítimos. O comando exato não está disponível nos dados técnicos fornecidos, portanto a execução dessa checagem deve seguir o procedimento oficial do produto antes de automação em massa.

• Servidores com LiteSpeed User-End cPanel Plugin entre 2.3 e 2.4.4.
• Contas cPanel de baixa confiança, contas recém-criadas ou contas com sinais prévios de comprometimento.
• Ambientes em que usuários cPanel conseguem acionar funcionalidades do plugin user-end associadas a lsws.redisAble.
• Instalações que ainda não receberam o conjunto LiteSpeed WHM Plugin 5.3.1.0 com cPanel plugin 2.4.7 ou superior.

Hunting e telemetria

A investigação deve procurar sinais de execução de scripts sob root cuja origem operacional esteja relacionada a usuários do cPanel e ao plugin LiteSpeed user-end. Como não há payload, hash, domínio, caminho de arquivo ou endereço IP específico preservado nos dados disponíveis, a estratégia de hunting precisa se apoiar em relações temporais e de privilégio: eventos de painel, ações do plugin, criação ou execução de scripts, alterações de permissões e processos iniciados com autoridade superior à esperada para a conta que originou a ação.

Em servidores afetados, a linha do tempo deve começar antes da atualização ou remoção do plugin e cobrir o período em que a versão vulnerável esteve instalada. Registros de autenticação do cPanel, histórico de usuários, logs de execução de comandos, eventos de administração do LiteSpeed e alterações em arquivos devem ser correlacionados. Qualquer execução como root associada a uma conta cPanel comum exige validação, principalmente quando ocorrer próxima a chamadas do plugin, alterações de configuração, criação de scripts temporários ou atividade de IP que não pertença ao operador legítimo da conta.

• Chamadas ou eventos relacionados a lsws.redisAble em período anterior à atualização.
• Execuções de scripts como root sem vínculo claro com rotina administrativa conhecida.
• Atividade de contas cPanel comprometidas, recém-criadas ou acessadas por endereços IP não reconhecidos.
• Saída positiva em verificação baseada em grep descrita para o incidente, seguida de avaliação de legitimidade dos IPs listados.
• Mudanças de arquivos, permissões ou tarefas executadas no mesmo intervalo de sessões cPanel suspeitas.

Mitigação

A mitigação principal é atualizar para o LiteSpeed WHM Plugin 5.3.1.0, que vem com o cPanel plugin 2.4.7 ou superior. Essa versão incorpora a correção da CVE-2026-48172 e ajustes adicionais após revisão dos plugins cPanel e WHM. Instalações que já aplicaram a versão 2.4.5 receberam a correção inicial da falha, mas a versão 2.4.7 deve ser preferida por incluir endurecimentos posteriores. Quando a atualização imediata não for viável, a medida temporária indicada é remover o plugin user-end para eliminar o caminho explorável associado ao componente vulnerável.

Após corrigir ou remover o plugin, a resposta não deve terminar na mudança de versão. Como há exploração ativa confirmada, é necessário revisar contas cPanel, validar sessões recentes, confirmar se houve execução privilegiada indevida e bloquear IPs que apareçam em checagens ou logs sem justificativa operacional. A rotação de credenciais deve ser considerada para contas com sinais de comprometimento, mas não deve substituir análise de host. A validação final precisa confirmar a versão instalada, a ausência do plugin vulnerável quando removido, a inexistência de novas execuções suspeitas como root e a documentação dos achados para acompanhamento posterior.

• Atualizar para LiteSpeed WHM Plugin 5.3.1.0 com cPanel plugin 2.4.7 ou superior.
• Confirmar que versões 2.3 a 2.4.4 do LiteSpeed User-End cPanel Plugin não permanecem instaladas.
• Remover o plugin user-end se a atualização não puder ser aplicada imediatamente.
• Investigar contas cPanel e execuções privilegiadas ocorridas antes da correção.
• Bloquear endereços IP não legítimos identificados por checagens e logs locais.