CVE-2026-54420

Falha de escalonamento de privilégios no plugin de usuário final do LiteSpeed para cPanel, que permite a um usuário com acesso FTP ou web shell dentro de um ambiente de hospedagem compartilhada CloudLinux/CageFS escapar do sandbox e obter root no servidor host. Importa porque foi explorada ativamente em maio de 2026 antes da correção pública, e o impacto é total comprometimento do servidor de hospedagem — não apenas da conta do usuário.

A causa raiz é CWE-61 (UNIX Symbolic Link Following): o plugin manipula caminhos de arquivo fornecidos ou influenciáveis pelo usuário sem verificar se são links simbólicos antes de operar sobre eles com privilégios elevados. O fornecedor não detalhou o código exato, mas os indicadores de comprometimento publicados apontam para o fluxo de geração de certificado EC (`generateEcCert` / `cert_action_entry geneccert`) encadeado imediatamente com o cálculo de tamanho de pacote do usuário (`packageUserSize`) — ambos endpoints JSON-API do cPanel expostos pelo plugin.

O mecanismo provável: um componente do plugin, ao processar essas chamadas, acessa ou grava em um caminho dentro do diretório do usuário que pode ter sido substituído por um symlink apontando para fora do CageFS (ex.: para arquivos ou diretórios do sistema host). Como esse componente roda com privilégio maior que o do usuário sandboxed — necessário para operar através do CageFS — seguir o link sem validação faz a operação privilegiada tocar em recursos fora do sandbox.

O CVSS 3.1 (AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H) reflete isso: PR:L porque o atacante já precisa ter uma conta de hospedagem válida (FTP ou shell); AC:H porque a exploração exige uma sequência/timing específico de chamadas (o padrão de pareamento e concorrência 7–10 chamadas descrito pelo fornecedor sugere uma condição de corrida ou ordenação exata); Scope Changed porque o comprometimento sai do contexto da conta do usuário e afeta o host inteiro.

A LiteSpeed afirma que o plugin WHM (administrativo) não foi afetado — apenas o plugin de usuário final do cPanel, que é instalado por conta a conta na hospedagem compartilhada.

Pré-requisito real: o atacante precisa já ter uma conta de hospedagem ativa nesse servidor, com acesso FTP ou a algum web shell (upload de script, por exemplo, em uma aplicação vulnerável hospedada na conta) — ou seja, não é uma falha explorável por um visitante anônimo da internet. O servidor também precisa estar rodando CloudLinux com CageFS e ter o plugin de usuário final do LiteSpeed para cPanel instalado.

Com esse acesso, o atacante cria um symlink em um local processado pelas rotinas de geração de certificado EC e/ou cálculo de tamanho de pacote do usuário, e então dispara essas chamadas via JSON-API do cPanel em sequência/concorrência específica. O componente privilegiado do plugin segue o link fora do CageFS e executa a operação (leitura ou escrita) com privilégios de root no sistema host, resultando em fuga completa do sandbox de isolamento entre contas.

Houve exploração confirmada em maio de 2026, antes da correção — a Namecheap reportou o problema ao fornecedor e ao time do cPanel, que reagiu emitindo um comando de desinstalação de emergência do plugin de usuário final antes mesmo do patch oficial. A vulnerabilidade está no catálogo KEV da CISA com prazo de mitigação de 18/06/2026 (3 dias após a inclusão), refletindo a gravidade da exploração ativa apesar da complexidade de ataque alta.

Atualizar para o LiteSpeed WHM Plugin v5.3.2.1 ou superior, que empacota o cPanel plugin v2.4.8 (corrigido). O fornecedor disponibiliza o comando de atualização via script: `wget -O- https://litespeedtech.com/packages/cpanel/lsws_whm_plugin_install.sh | sh`, que atualiza tanto o plugin WHM quanto o plugin de usuário final, se instalado.

Se a atualização imediata não for possível, o paliativo real e recomendado pelo próprio fornecedor é remover o plugin de usuário final até poder corrigir: `/usr/local/lsws/admin/misc/lscmctl cpanelplugin --uninstall`. O custo é perder as funcionalidades do plugin do lado do usuário (o plugin WHM administrativo, que não é afetado, pode continuar ativo). Após atualizar, é possível reinstalar e reativar a auto-instalação com `lscmctl cpanelplugin --install` seguido de `lscmctl cpanelplugin -autoinstall 1`.

Não há mitigação eficaz via WAF ou controle de rede, porque a exploração ocorre inteiramente dentro do servidor, através de chamadas legítimas à JSON-API do cPanel feitas por uma conta já autenticada — não há payload de rede externo a bloquear. A única mitigação real é atualizar o componente vulnerável ou removê-lo.

O próprio fornecedor publicou um indicador de comprometimento: buscar nos logs do cPanel (`/usr/local/cpanel/logs/` e `/var/cpanel/logs/`) por ocorrências de `cpanel_jsonapi_func=(generateEcCert|packageUserSize)` ou `cert_action_entry .*geneccert`. Ausência de resultado indica que o servidor não foi afetado por essa técnica específica.

Caso haja resultado, há risco de falso positivo — uso legítimo desses endpoints é normal. Os sinais que confirmam exploração são: pareamento de `generateEcCert` seguido imediatamente por `packageUserSize` para o mesmo usuário (fluxos legítimos de interface não encadeiam essas chamadas); concorrência anormal de 7 a 10 chamadas simultâneas por tentativa (uso legítimo faz uma chamada por vez); e o mesmo IP de origem martelando ambos os endpoints repetidamente. Confirmado o padrão, é preciso examinar os logs do sistema para ações realizadas pelos IPs identificados, já que o objetivo final é escalonamento a root.