cPanel a lansat un update de securitate pentru vulnerabilitati in cpsrvd

cPanel a pus la dispozitie un nou update de securitate pentru cPanel si WHM, care corecteaza mai multe vulnerabilitati identificate in versiunile suportate ale platformei. Producatorul, WebPros International, a notificat partenerii de hosting si a incadrat problemele la un nivel de severitate care ajunge pana la High.

Trei probleme sunt mentionate explicit in comunicarea catre parteneri. CVE-2026-58047 afecteaza functionalitatea cpsrvd, daemonul care serveste interfetele cPanel si WHM, iar advisory-ul publicat de cPanel o descrie ca fiind de tip HTTP request smuggling, adica o manipulare a modului in care cererile HTTP sunt interpretate si delimitate intre componente. CVE-2026-58048 vizeaza componenta de baze de date si este descrisa drept escaladare de privilegii. A treia problema tine de functionalitatea de mail Exim si este urmarita sub identificatorul GCVE-25-2026-07-45-3.

Formatul acestui ultim identificator nu este o eroare de scriere. GCVE este un sistem descentralizat de numerotare a vulnerabilitatilor, compatibil cu schema CVE clasica, in care organizatiile inregistrate ca autoritati de numerotare isi aloca singure identificatorii. Proiectul Exim are propriul numar de autoritate in acest sistem, ceea ce explica prefixul diferit fata de un CVE obisnuit.

Pe langa cele trei vulnerabilitati, update-ul include si masuri suplimentare de intarire a securitatii pentru anumite configuratii de sistem de operare suportate. Versiunile corectate sunt 11.110.0.137, 11.126.0.78, 11.134.0.48 si 11.136.0.32, respectiv 11.138.1.6 pentru WP Squared. Administratorii care isi gestioneaza singuri serverele trebuie sa ruleze procedura de actualizare si sa verifice ulterior versiunea de build returnata de sistem.

Noi, echipa Gazduire.Net, am primit notificarea direct de la cPanel si tratam acest tip de actualizare cu prioritate maxima. Fiind vorba de o vulnerabilitate la nivel de panou de control si de server, responsabilitatea aplicarii patch-ului ne revine integral noua, nu clientilor. Am inceput imediat verificarea si actualizarea infrastructurii pe care o administram, astfel incat clientii de gazduire partajata si reseller nu trebuie sa faca nimic. Clientii care folosesc servere VPS sau dedicate neadministrate, unde actualizarile cPanel raman in sarcina lor, ar trebui sa aplice update-ul cat mai rapid.

Anul acesta a fost unul dificil pentru ecosistemul cPanel, cu mai multe lansari de securitate de urgenta intr-un interval scurt de timp. Concluzia practica ramane aceeasi: distanta dintre publicarea unui patch si aparitia primelor incercari de exploatare s-a scurtat considerabil, iar mentinerea serverelor pe un tier suportat, cu actualizari automate active, nu mai este o optiune, ci o conditie minima de functionare.