Americký Úřad pro kybernetickou a infrastrukturní bezpečnost (CISA) zařadil bezpečnostní chybu pluginu LiteSpeed pro cPanel do svého katalogu aktivně zneužívaných zranitelností (KEV). Federální civilní úřady ve Spojených státech tak musí příslušnou opravu nasadit nejpozději do 18. června 2026.
Co chyba umožňuje
Sporná zranitelnost s označením CVE-2026-54420 získala hodnocení CVSS 8,5 a jde o případ neoprávněného navýšení oprávnění. Útočníkovi, který má na sdíleném hostingovém serveru s CloudLinuxem nebo CageFS přístup přes FTP nebo webshell, umožňuje povýšit svá oprávnění až na úroveň superuživatele (root).
Podle popisu zveřejněného na portálu CVE.org chyba souvisí s nesprávným zpracováním symbolických odkazů – plugin LiteSpeed pro cPanel ve verzích starších než 2.4.8 (respektive starší WHM plugin LiteSpeed před verzí 5.3.2.0) je nedokáže správně ošetřit, pokud je vytvoří uživatel, který má na sdíleném hostingovém serveru s CloudLinuxem nebo CageFS přístup přes FTP nebo webshell.
Zatím není známo, jakým konkrétním způsobem je chyba v praxi zneužívána ani zda byly některé útoky úspěšné. Společnost LiteSpeed nicméně administrátorům doporučila ověřit stav jejich serverů jednoduchým příkazem, který v protokolových souborech vyhledá podezřelé volání funkcí generateEcCert a packageUserSize. Pokud příkaz nic nevrátí, server pravděpodobně nebyl zasažen. V opačném případě firma doporučuje věnovat pozornost zejména situacím, kdy se obě funkce volají bezprostředně po sobě pro stejného uživatele, nebo kdy během jednoho pokusu proběhne sedm až deset souběžných volání, protože běžné používání rozhraní podobné vzorce nevytváří.
Kdo na chybu upozornil
Na zranitelnost upozornila společnost Namecheap, která ji nahlásila 31. května 2026. Provozovatelům hostingu se doporučuje aktualizovat na verzi WHM pluginu LiteSpeed 5.3.2.1 (jejíž součástí je plugin cPanel ve verzi 2.4.8) nebo novější, čímž chybu odstraní.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
