LiteSpeed cPanel: un plugin con CVSS 10.0 e tre patch per…

CISA ha incluso CVE-2026-48172 nel catalogo KEV il 26 maggio 2026 , imponendo alle agenzie federali una finestra di tre giorni per la correzione. La vulnerabilità

{"main_topic":"cybersecurity","topics":["cve","vulnerabilita","exploit","patch","cybersec"]} ```

CISA ha incluso CVE-2026-48172 nel catalogo KEV il 26 maggio 2026, imponendo alle agenzie federali una finestra di tre giorni per la correzione. La vulnerabilità nel LiteSpeed User-End cPanel Plugin — scoperta dal ricercatore David Strydom e attivamente sfruttata da maggio — consente a qualsiasi utente cPanel di eseguire script arbitrari con privilegi di root. La peculiarità del caso sta nel percorso della mitigazione: la versione 2.4.5 ha introdotto una prima correzione, ma la 2.4.7 è stata necessaria per un "hardening aggiuntivo" che lascia intendere come il tappo iniziale non fosse sufficiente.

Punti chiave

CVE-2026-48172 ha un punteggio CVSS 4.0 di 10.0 su 10.0 secondo il record ufficiale su cve.org, il massimo possibile.
La funzione lsws.redisAble del plugin LiteSpeed User-End cPanel consente l'esecuzione di script arbitrari come root a partire da qualsiasi account utente cPanel, anche compromesso.
CISA ha aggiunto la vulnerabilità al catalogo KEV il 26 maggio 2026 con scadenza per le agenzie federali fissata al 29 maggio 2026.
La versione 2.4.5 ha introdotto una prima correzione, ma la 2.4.7 è il minimo consigliato per un hardening aggiuntivo; il plugin WHM parent non è vulnerabile.

Il meccanismo: da utente cPanel a root in una chiamata API

Il problema risiede nella gestione delle funzionalità Redis nel LiteSpeed User-End cPanel Plugin. Secondo il record CVE-2026-48172 su cve.org, la vulnerabilità è classificata come "incorrect privilege assignment" (CWE-266): la funzione lsws.redisAble, accessibile tramite le chiamate JSON API di cPanel, non restringe correttamente i privilegi di esecuzione.

Il risultato è che qualsiasi utente autenticato su cPanel — incluso un attaccante che abbia compromesso un account esistente o ne abbia creato uno legittimo su un hosting condiviso — può innescare l'esecuzione di script con privilegi di root. L'impatto è totale: controllo completo del server, accesso ai dati di tutti gli tenant ospitati sulla macchina, possibilità di movimento laterale nell'infrastruttura e manipolazione dei log per occultare le tracce.

La CSA Singapore, nel proprio avviso pubblicato il 21 maggio 2026, ha assegnato alla vulnerabilità un punteggio CVSS v4.0 di 10 su 10, confermando la valutazione massima. Il record NVD riporta invece un CVSS 3.1 di 9.8 con vettore AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H: accesso di rete, complessità di attacco bassa, nessun privilegio richiesto, nessuna interazione utente.

Il patching da 2.4.5 a 2.4.7: cosa non ha funzionato al primo tentativo

Le release notes e le comunicazioni di LiteSpeed Technologies, riportate da The Hacker News, documentano un percorso di correzione in due tempi. La versione 2.4.5 ha introdotto la prima fix per CVE-2026-48172. Tuttavia, è stata la 2.4.7 a includere "ulteriore hardening" e a essere indicata come versione minima consigliata nel record ufficiale CVE.

Il record cve.org elenca esplicitamente "version 2.4.5 (Contains patch for CVE-2026-48172)" e "version 2.4.7 (Minimum recommended version)". The Hacker News specifica che la 2.4.7 è stata distribuita in bundle con il WHM Plugin 5.3.1.0. Questa dualità — patch funzionale ma insufficiente, poi patch rafforzata — suggerisce che la prima correzione non abbia eradicato completamente la superficie di attacco o che siano emersi vettori correlati durante l'analisi successiva alla pubblicazione.

Il plugin WHM (Web Host Manager), componente parent di amministrazione, non è vulnerabile. La separazione tra i due plugin è rilevante per gli operatori: chi ha aggiornato solo il WHM senza toccare il componente user-end ha lasciato aperta la falla.

"Any cPanel user (including an attacker or a compromised account) may exploit the lsws.redisAble function to execute arbitrary scripts as root" — LiteSpeed Technologies, citato da The Hacker News

Tracciamento e detection: un comando grep per verificare la compromissione

Un elemento raro per questa tipologia di vulnerabilità è la disponibilità di un comando di detection specifico, documentato nel record CVE, in NVD e ripreso da The Hacker News:

grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null

L'esecuzione di questo comando sui log cPanel consente di verificare se la funzione redisAble è stata invocata, indicando potenziale exploit. La presenza di pattern corrispondenti non prova automaticamente la compromissione — potrebbe trattarsi di uso legittimo — ma fornisce un punto di partenza per l'analisi forense. La fonte non specifica se il comando identifichi solo tentativi riusciti o anche quelli falliti.

Per le agenzie federali statunitensi, CISA ha stabilito una scadenza di patching di tre giorni: dal 26 al 29 maggio 2026. Questa finestra estremamente compressa, tipica del catalogo KEV, riflette la concomitanza di exploit attivo e impatto critico su infrastrutture potenzialmente esposte a internet.

Cosa fare adesso

Per gli operatori di hosting condiviso e gli amministratori di server cPanel, le azioni prioritarie derivano direttamente dalle fonti verificate:

Aggiornare al minimo alla versione 2.4.7 del LiteSpeed User-End cPanel Plugin, o al WHM Plugin 5.3.1.0 che la include in bundle. La 2.4.5 non è sufficiente come correzione definitiva secondo il record CVE.
Eseguire il comando di detection grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null sui log storici per verificare eventuali invocazioni sospette della funzione vulnerabile.
Se l'aggiornamento immediato non è fattibile, disinstallare il plugin user-end tramite /usr/local/lsws/admin/misc/lscmctl cpanelplugin --uninstall come indicato da The Hacker News, eliminando la superficie di attacco a costo della funzionalità Redis gestita dal pannello.
Verificare la distinzione tra plugin: confermare che sia stato aggiornato il componente user-end, non solo il WHM Plugin, che risulta non vulnerabile ma non mitiga la falla nel componente esposto agli utenti.

Il contesto del rischio hosting

L'episodio si inserisce in un pattern crescente di attacchi a infrastrutture di hosting condiviso, dove un singolo server compromesso espone multipli tenant. La condivisione delle risorse — il modello economico alla base dell'hosting entry-level — diventa in questi casi un moltiplicatore di impatto: un attaccante con accesso root ottiene effettivamente l'equivalente di una violazione multi-sito con un unico punto di ingresso.

Il dato che emerge con forza dal percorso di patching è la difficoltà di chiudere completamente vulnerabilità in componenti che interagiscono con API complesse come quelle di cPanel. La necessità di una seconda iterazione (2.4.5 → 2.4.7) indica che le prime analisi post-scoperta hanno sottovalutato la resilienza del vettore, o che nuovi scenari di exploit sono emersi durante l'analisi del codice corretto. Per gli operatori, questo significa che "aggiornato" non equivale necessariamente a "protetto" se non si traccia attivamente l'evoluzione delle advisory del vendor.

Domande frequenti

Perché CVSS 4.0 dà 10.0 mentre CVSS 3.1 dà 9.8?

Le due versioni dello standard utilizzano metriche diverse. Il record ufficiale su cve.org riporta il punteggio CVSS 4.0 di 10.0 come valore primario; NVD include entrambi. Il vettore 4.0 (/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H) conferma l'impatto massimo su confidenzialità, integrità e disponibilità, inclusi quelli subordinati al sistema.

Se ho già aggiornato alla 2.4.5, sono protetto?

Il record CVE indica esplicitamente la 2.4.7 come "minimum recommended version". La 2.4.5 contiene una patch per CVE-2026-48172, ma la versione successiva include hardening aggiuntivo non dettagliato pubblicamente. La fonte non specifica se la 2.4.5 sia tecnicamente sufficiente o meno contro tutti i vettori noti.

Il comando grep rileva solo attacchi riusciti?

Il dossier non specifica se il pattern cpanel_jsonapi_func=redisAble identifichi chiamate riuscite, fallite o entrambe. L'invocazione della funzione nei log richiede analisi contestuale per determinare il risultato dell'operazione.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti