Cómo una función estándar de parking de dominios otorgó acceso root a todos los usuarios

El alojamiento compartido se basa en la promesa fundamental de que cada usuario vive en un contenedor seguro y aislado. Asumimos que un vecino en el mismo servidor físico no puede fisgonear en nuestros archivos o, lo que es peor, tomar el control de toda la máquina. Esa suposición se derrumbó el 27 de agosto de 2026, cuando cPanel confirmó una vulnerabilidad crítica en la forma en que su software maneja el parking de dominios y los dominios adicionales. Este fallo, identificado como CVE-2026-65643, es una paradoja arquitectónica donde una tarea de gestión rutinaria se convierte en una ruta directa hacia los privilegios de root.

Pasé años como administrador de sistemas antes de pasar al periodismo de seguridad. Recuerdo la ansiedad específica de gestionar miles de cuentas en un solo clúster. Confías en que el panel de control haga cumplir los límites. Si un usuario puede salir de su directorio personal, todo el modelo de seguridad es un fracaso. CVE-2026-65643 es ese fracaso en su forma más literal. Permite que el titular de una cuenta autenticada cree archivos arbitrarios en el servidor. Debido a que el proceso que maneja estos dominios a menudo opera con permisos elevados, el resultado es la ejecución completa de código como usuario root.

La arquitectura del colapso de un alojamiento compartido

La vulnerabilidad existe en la lógica que procesa los dominios aparcados (parked) y adicionales (addon) dentro de cPanel y WebHost Manager (WHM). Cuando un usuario añade un dominio, el sistema debe actualizar los archivos de configuración y crear estructuras de directorios. En este caso específico, la lógica de validación no logra evitar la creación de archivos en áreas sensibles del sistema de archivos. Este no es un exploit complejo que requiera técnicas avanzadas de corrupción de memoria. Es un fallo de lógica donde el sistema sigue instrucciones que debería haber rechazado.

Desde una perspectiva de riesgo, esto es una pesadilla para los proveedores de alojamiento compartido. Un atacante no necesita un exploit de día cero o una campaña de phishing sofisticada para empezar. Solo necesitan una cuenta de alojamiento válida y de bajo nivel. Una vez que tienen ese punto de apoyo, pueden usar la función de dominio adicional para soltar un script malicioso en un directorio donde el sistema lo ejecutará como root. Esto les da las llaves de todas las demás cuentas del servidor, de cada base de datos y de cada correo electrónico cifrado almacenado en el disco.

Evaluación de la superficie de ataque y ramas de soporte

cPanel lanzó parches para todas las versiones compatibles, pero la lista de ramas afectadas plantea interrogantes. La empresa nombró las versiones 11.110.0.141, 11.134.0.53, 11.136.0.37, 11.138.0.2 y 11.138.1.7 como las compilaciones mínimas seguras. Sin embargo, los parches lanzados en julio para otros fallos incluyeron las ramas 11.118 y 11.126. La omisión de estas ramas en la notificación del 27 de agosto sugiere que pueden haber llegado al final de su vida útil de soporte. Los administradores que ejecuten estas versiones deben verificar su estado de inmediato.

Mirando el panorama de amenazas, este incidente es parte de una tendencia mayor de vulnerabilidades en paneles de control. A principios de este año, el catálogo de Vulnerabilidades Explotadas Conocidas de CISA añadió dos fallos en el plugin LiteSpeed de cPanel. Uno de ellos, el CVE-2026-48172, también permitía la escalada de privilegios a root. El ecosistema de cPanel es un objetivo masivo porque es el estándar de facto para la industria del alojamiento web. Cuando aparece un fallo como el CVE-2026-65643, impacta a millones de sitios web simultáneamente.

El rastro forense dejado atrás

Parchear un servidor detiene la hemorragia, pero no te dice si el ladrón ya está dentro. cPanel no proporcionó indicadores específicos de compromiso para este fallo. En caso de una brecha, los analistas forenses deben buscar artefactos creados durante la fase de explotación. Entre bastidores, la creación de archivos arbitrarios deja rastros en los registros de errores de Apache y en los registros de acceso de cPanel. Cuando un fallo similar afectó a Phusion Passenger a principios de este mes, cPanel recomendó usar grep para buscar patrones de solicitud específicos en los registros.

Plesk, un producto hermano de cPanel, proporcionó consejos más granulares para sus usuarios durante un incidente similar reciente. Sugirieron revisar el archivo /etc/ld.so.preload en busca de entradas inesperadas. Este archivo es un objetivo común para los atacantes que desean mantener la persistencia en un sistema Linux. Si se carga una biblioteca maliciosa aquí, puede interceptar llamadas al sistema y ocultar la presencia del atacante de las herramientas de monitoreo estándar. Dejando de lado el parcheo, un administrador debe asumir que cualquier servidor con usuarios no confiables fue un objetivo.

Hablando proactivamente sobre la mitigación

Para los servidores configurados para actualizaciones diarias automáticas, la solución llegó sin intervención manual. Este es el único beneficio del modelo de actualización moderno y centralizado. Sin embargo, muchos entornos empresariales desactivan las actualizaciones automáticas para evitar interrupciones del servicio. Para esos administradores, el comando /scripts/upcp --force es la única manera de asegurar que el servidor ya no sea explotable. Esto debe ejecutarse a través de una sesión SSH de root de inmediato.

Un detalle sigue sin estar claro en el aviso oficial. cPanel advirtió previamente que un fallo en Exim podría permitir la escalada de privilegios desde subcuentas de Team User. La notificación del 27 de agosto no especifica si estas subcuentas también pueden explotar la vulnerabilidad de dominios adicionales. En un entorno de confianza cero (zero trust), se debe asumir que cualquier cuenta con permiso para gestionar dominios es un vector potencial. Restringir quién puede añadir dominios es una contramedida lógica hasta que se verifique el parche.

La integridad de los datos y la tríada CIA

Cuando evaluamos esto a través de la tríada CIA, el impacto en la integridad y la confidencialidad es total. Un usuario root puede leer cada archivo (Confidencialidad) y modificar cualquier base de datos (Integridad). También pueden apagar todo el sistema o eliminar copias de seguridad (Disponibilidad). Es por esto que la falta de una puntuación CVSS en el registro CVE a fecha de 28 de agosto es sorprendente. Dada la descripción, este fallo cumple con todos los criterios para una puntuación de 9.8 o 10.0.

He visto a muchos administradores tratar las actualizaciones del panel de control como una prioridad baja porque tienen un firewall. Pero un firewall es un foso de castillo obsoleto cuando el atacante ya está dentro de los muros como un cliente legítimo. El perímetro de la red no te protege de un usuario que tiene un inicio de sesión válido en cPanel. En este escenario, el propio software se convierte en el caballo de Troya digital.

Acciones inmediatas para administradores

La seguridad es un juego reactivo, pero tu tiempo de respuesta determina el alcance del daño. Si gestionas un servidor cPanel, tu primer paso es verificar tu versión actual. Puedes encontrar esto en WHM bajo Configuración del Servidor. Si no estás en una de las versiones parcheadas mencionadas anteriormente, estás ejecutando un servidor donde cada cliente es un usuario root potencial.

1. Inicia sesión en tu servidor como root a través de SSH.
2. Ejecuta el script de actualización manualmente para omitir el programa diario: /scripts/upcp --force.
3. Revisa el archivo /etc/ld.so.preload en busca de cualquier biblioteca que no reconozcas.
4. Audita tus registros de Apache en busca de actividad inusual relacionada con la adición de dominios en las últimas 48 horas.
5. Confirma que todas las cuentas de Team User tengan solo los permisos que estrictamente requieren.

Fuentes: cPanel Security Advisories, CISA Known Exploited Vulnerabilities Catalog, NIST National Vulnerability Database, Plesk Technical Support Documentation, MITRE ATT&CK Framework.

Descargo de responsabilidad: Este artículo es solo para fines informativos y educativos y no reemplaza una auditoría de ciberseguridad profesional o un servicio de respuesta ante incidentes.