Vulnerabilità critica in LiteSpeed cPanel sfruttata attivamente: il CISA avverte!

La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto un difetto di sicurezza che colpisce il plug-in LiteSpeed cPanel alle sue vulnerabilità note sfruttate. La vulnerabilità CVE-2026-54420 permette a un utente con accesso FTP o shell web di aumentare i privilegi al root su server di hosting condiviso che eseguono CloudLinux o CageFS. Gli utenti sono invitati ad aggiornare il plugin per correggere la vulnerabilità.

La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto un difetto di sicurezza che colpisce il plug-in LiteSpeed cPanel alle sue vulnerabilità note sfruttate (KEV), richiedendo alle agenzie del Federal Civilian Executive Branch (FCEB) di applicare le correzioni entro il 18 giugno 2026.

La vulnerabilità in questione è il CVE-2026-54420 (punteggio CVSS: 8,5), che è stata descritta come una privilege escalation. Consente a un utente con accesso FTP o shell web di aumentare i privilegi al root su server di hosting condiviso che eseguono CloudLinux o CageFS.

“Il plug-in LiteSpeed cPanel prima della 2.4.8 (come distribuito nel plug-in LiteSpeed WHM prima della 5.3.2.0) gestisce in modo errato i collegamenti simbolici forniti da un utente con accesso FTP o shell web su un server di hosting condiviso che esegue CloudLinux/CageFS,” secondo un descrizione della vulnerabilità in CVE.org.

Al momento non è noto come la vulnerabilità venga sfruttata e se qualcuno di questi attacchi abbia avuto successo, ma LiteSpeed ha ha invitato gli utenti a eseguire il comando seguente per verificare se i loro server sono interessati

grep -rE 'cpanel_jsonapi_func=(generateEcCert|packageUserSize)|cert_action_entry .*geneccert' /usr/local/cpanel/logs/ /var/cpanel/logs/ 2>/dev/null

Se il comando grep non mostra alcun output, significa che il server non è stato interessato dal problema. LiteSpeed ha condiviso indicatori aggiuntivi per escludere eventuali falsi positivi: 

• generateEcCert immediatamente seguito da packageUserSize per lo stesso utente (i flussi dell’interfaccia utente legittimi non li concatenano) 
• 7-10 chiamate simultanee per tentativo (l’interfaccia utente legittima ne fa una alla volta)

Namecheap è stato accreditato di aver portato il problema alla sua attenzione il 31 maggio 2026. Utenti si consiglia di eseguire l’aggiornamento al plug-in WHM LiteSpeed v5.3.2.1 (in bundle con il plug-in cPanel v2.4.8) o versione successiva per correggere la vulnerabilità.

Redazione

La Redazione di Red Hot Cyber fornisce aggiornamenti quotidiani su bug, data breach e minacce globali. Ogni contenuto è validato dalla nostra community di esperti come Pietro Melillo, Massimiliano Brolli, Sandro Sana, Olivia Terragni e Stefano Gazzella. Grazie alla sinergia con i nostri Partner leader nel settore (tra cui Accenture, CrowdStrike, Trend Micro e Fortinet), trasformiamo la complessità tecnica in consapevolezza collettiva, garantendo un'informazione accurata basata sull'analisi di fonti primarie e su una rigorosa peer-review tecnica.