CVE-2026-65643, il bug del domain parking che trasforma ogni…

cPanel ha corretto il 27 agosto 2026 una vulnerabilità critica nel modulo di domain parking che consente a qualsiasi utente autenticato con permessi base di scrivere

{"main_topic":"cybersecurity","topics":["cybersecurity","vulnerabilita","cve","rce","patch"]}

cPanel ha corretto il 27 agosto 2026 una vulnerabilità critica nel modulo di domain parking che consente a qualsiasi utente autenticato con permessi base di scrivere file arbitrari sul server e ottenere esecuzione di codice come root. Non servono privilegi elevati né competenze avanzate: basta un account con la funzione addon domain attiva, presente nella stragrande maggioranza dei pacchetti di hosting condiviso. La falla, identificata come CVE-2026-65643, espone direttamente il modello di fiducia del multi-tenancy, dove coesistono centinaia di siti su una stessa macchina con la promessa implicita di isolamento.

Punti chiave

CVE-2026-65643 riguarda la funzionalità di domain parking e addon domain in cPanel/WHM: un utente autenticato con questi permessi può creare file arbitrari sul filesystem del server.
L'exploitation completa porta all'esecuzione di codice come utente root, con controllo totale del server e di tutti gli account, siti e database coesistenti.
La patch è disponibile per tutte le versioni supportate, con soglie specifice per ogni ramo: 11.110.0.141+, 11.134.0.53+, 11.136.0.37+, 11.138.0.2+ e 11.138.1.7+ per WP Squared.
Non risulta pubblicato alcun punteggio CVSS né inserimento nel catalogo CISA KEV al momento dell'advisory; cPanel non ha confermato exploitation attiva nel brief.

La falla nel modello di hosting condiviso

L'advisory ufficiale, pubblicato da cPanel il 27 agosto 2026 e firmato dall'ingegnere di supporto Devon Courtney, è inequivocabile sulla catena di compromissione. Un account holder autenticato che disponga della semplice capacità di aggiungere parked o addon domains — funzione standard in quasi ogni piano di hosting rivenduto — può superare i controlli di accesso previsti e creare file in posizioni arbitrarie del filesystem. Questo è sufficiente per innescare l'esecuzione di codice con i privilegi più alti del sistema.

La gravità non sta solo nella conseguenza finale, ma nella bassissima barriera all'ingresso. In un ambiente di hosting condiviso, dove il provider vende account a pochi euro al mese, la funzione addon domain è spesso attiva di default e richiesta esplicitamente dai clienti per associare domini aggiuntivi allo stesso spazio. Nessun attaccante ha bisogno di exploit sofisticati o di chain complesse: l'autenticazione stessa, con quei permessi minimi, diventa il veicolo di compromissione totale.

"Successful exploitation leads to code execution as the root user, giving an attacker full control of the server and every account, website, and database on it." — cPanel vendor advisory

Versioni colpite e patch distribuite

Secondo l'advisory del vendor, tutte le versioni supportate di cPanel & WHM sono vulnerabili. La tabella delle patch elenca cinque soglie di versione corrette: 11.110.0.141 o successive, 11.134.0.53 o successive, 11.136.0.37 o successive, 11.138.0.2 o successive, e 11.138.1.7 o successive per l'ambiente WP Squared. I server configurati con gli aggiornamenti automatici giornalieri ricevono la correzione senza intervento manuale.

Per le installazioni con aggiornamento manuale, cPanel indica due procedure: l'esecuzione di /scripts/upcp --force da riga di comando o l'uso dell'interfaccia WHM. Le versioni fuori supporto non ricevono la patch e devono essere migrate a un ramo mantenuto. Il brief non specifica lo status delle versioni 11.118 e 11.126, la cui situazione di supporto risulta indefinita nel dossier.

Il buco nella copertura: CVSS assente, KEV vuoto

Un elemento di anomalia amministrativa accompagna la divulgazione. Al 28 agosto 2026, il programma CVE non aveva pubblicato record per CVE-2026-65643, e l'advisory del vendor non riporta alcun punteggio di severità. Allo stesso modo, la vulnerabilità non figurava nel catalogo Known Exploited Vulnerabilities di CISA alla data dell'annuncio. Queste assenze non attenuano la criticità tecnica del bug, ma lasciano i team di sicurezza senza il consueto framework di prioritizzazione quantitativa.

Il punto è operativo: l'assenza di CVSS e di flag CISA non implica minore pericolo, ma richiede una valutazione autonoma più rapida. I provider di hosting che attendono il segnale di catalogo esterno per muoversi si trovano a dover decidere su basi tecniche proprie, senza la comoda scorciatoia del punteggio di consenso. Per una falla che compromette l'intero paradigma del multi-tenancy, questo ritardo burocratico è una variabile di rischio aggiuntiva.

Perché è importante

Il dossier presenta limiti significativi che condizionano la risposta immediata. Non è documentata alcuna mitigazione provvisoria: nessuna configurazione da disattivare, nessun workaround di rete, nessuna regola WAF. Il brief non chiarisce se gli account Team User con permessi di domain parking rientrino nel perimetro di rischio, né se le installazioni DNSOnly siano interessate. Il meccanismo preciso della scrittura arbitraria — path traversal, race condition, symlink abuse o altra tecnica — non è stato divulgato nel brief, impedendo l'analisi difensiva mirata.

L'impatto dichiarato dalla fonte è totale: ogni account, sito e database sulla macchina compromessa. Ma il dossier non quantifica l'esposizione reale, non stima il numero di server vulnerabili, non documenta indicatori di compromissione specifici per questa falla. La lettura redazionale è che la combinazione di semplicità di exploitation e assenza di alternative al patching crea una finestra di esposizione gestibile solo attraverso la velocità di deployment delle correzioni — una pressione che i provider più piccoli, con cicli di manutenzione più lunghi, potrebbero non reggere.

FAQ

Basta disabilitare i parked domain per mitigare?

Il brief non riporta alcuna mitigazione provvisoria, inclusa la disattivazione della funzione. Non è possibile confermare se questa azione blocchi il vettore senza verifica tecnica aggiuntiva.

Un attaccante necessita di credenziali compromesse o basta registrare un account?

L'advisory richiede un account holder autenticato con permessi di addon/parked domain. Il dossier non specifica se l'account debba essere legittimo o rubato: in entrambi i casi, la barriera è bassa in ambienti con registrazione aperta o account a costo irrisorio.

Perché non c'è il punteggio CVSS?

Il CVE Program non aveva pubblicato record al 28 agosto 2026, e l'advisory del vendor non include il punteggio. Il motivo del ritardo non è documentato nel brief.

Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter