Come una funzionalità standard di parcheggio domini ha fornito l'accesso root a ogni utente

L'hosting condiviso si basa su una promessa fondamentale: che ogni utente viva in un contenitore sicuro e isolato. Partiamo dal presupposto che un vicino sullo stesso server fisico non possa sbirciare nei nostri file o, peggio, prendere il controllo dell'intera macchina. Tale presupposto è crollato il 27 agosto 2026, quando cPanel ha confermato una vulnerabilità critica nel modo in cui il suo software gestisce il parcheggio dei domini e i domini aggiuntivi. Questa falla, tracciata come CVE-2026-65643, è un paradosso architettonico in cui una routine di gestione ordinaria diventa un percorso diretto verso i privilegi di root.

Ho trascorso anni come amministratore di sistema prima di passare al giornalismo sulla sicurezza. Ricordo la specifica ansia di gestire migliaia di account su un singolo cluster. Ti fidi del pannello di controllo per far rispettare i confini. Se un utente può uscire dalla propria home directory, l'intero modello di sicurezza è un fallimento. La vulnerabilità CVE-2026-65643 è quel fallimento nella sua forma più letterale. Consente a un titolare di account autenticato di creare file arbitrari sul server. Poiché il processo che gestisce questi domini opera spesso con permessi elevati, il risultato è l'esecuzione completa di codice come utente root.

L'architettura di un collasso dell'hosting condiviso

La vulnerabilità risiede nella logica che elabora i domini parcheggiati e aggiuntivi all'interno di cPanel e WebHost Manager (WHM). Quando un utente aggiunge un dominio, il sistema deve aggiornare i file di configurazione e creare le strutture delle directory. In questo caso specifico, la logica di validazione non riesce a impedire la creazione di file in aree sensibili del filesystem. Non si tratta di un exploit complesso che richiede tecniche avanzate di corruzione della memoria. È un difetto logico in cui il sistema segue istruzioni che avrebbe dovuto rifiutare.

Dal punto di vista del rischio, questo è un incubo per i fornitori di hosting condiviso. Un aggressore non ha bisogno di un exploit zero-day o di una sofisticata campagna di phishing per iniziare. Hanno solo bisogno di un account di hosting valido e di basso livello. Una volta ottenuto tale punto d'appoggio, possono utilizzare la funzione dei domini aggiuntivi per inserire uno script malevolo in una directory dove il sistema lo eseguirà come root. Questo fornisce loro le chiavi di ogni altro account sul server, di ogni database e di ogni email crittografata memorizzata sul disco.

Valutazione della superficie di attacco e dei rami di supporto

cPanel ha rilasciato patch per tutte le versioni supportate, ma l'elenco dei rami interessati solleva interrogativi. L'azienda ha indicato le versioni 11.110.0.141, 11.134.0.53, 11.136.0.37, 11.138.0.2 e 11.138.1.7 come build minime sicure. Tuttavia, le patch rilasciate a luglio per altre falle includevano i rami 11.118 e 11.126. L'omissione di questi rami dalla notifica del 27 agosto suggerisce che potrebbero aver raggiunto la fine del loro ciclo di vita del supporto. Gli amministratori che eseguono queste versioni dovrebbero verificare immediatamente il loro stato.

Guardando al panorama delle minacce, questo incidente fa parte di una tendenza più ampia di vulnerabilità dei pannelli di controllo. All'inizio di quest'anno, il catalogo CISA Known Exploited Vulnerabilities ha aggiunto due falle nel plugin cPanel di LiteSpeed. Una di queste, CVE-2026-48172, consentiva anch'essa l'escalation dei privilegi a root. L'ecosistema cPanel è un bersaglio enorme perché è lo standard de facto per l'industria del web hosting. Quando appare una falla come la CVE-2026-65643, essa impatta milioni di siti web simultaneamente.

La traccia forense lasciata alle spalle

Applicare le patch a un server ferma l'emorragia, ma non dice se il ladro è già all'interno. cPanel non ha fornito indicatori specifici di compromissione per questa falla. In caso di violazione, gli analisti forensi devono cercare artefatti creati durante la fase di sfruttamento. Dietro le quinte, la creazione di file arbitrari lascia tracce nei log degli errori di Apache e nei log di accesso di cPanel. Quando una falla simile ha colpito Phusion Passenger all'inizio di questo mese, cPanel ha raccomandato di usare grep per cercare nei log specifici pattern di richiesta.

Plesk, un prodotto gemello di cPanel, ha fornito consigli più granulari per i propri utenti durante un recente incidente simile. Hanno suggerito di controllare il file /etc/ld.so.preload per voci impreviste. Questo file è un bersaglio comune per gli aggressori che vogliono mantenere la persistenza su un sistema Linux. Se una libreria malevola viene caricata qui, può intercettare le chiamate di sistema e nascondere la presenza dell'aggressore agli strumenti di monitoraggio standard. Patch a parte, un amministratore deve presumere che qualsiasi server con utenti non attendibili sia stato un bersaglio.

Parlare proattivamente della mitigazione

Per i server configurati per gli aggiornamenti giornalieri automatici, la correzione è arrivata senza intervento manuale. Questo è l'unico vantaggio del moderno modello di aggiornamento centralizzato. Tuttavia, molti ambienti aziendali disabilitano gli aggiornamenti automatici per evitare interruzioni del servizio. Per quegli amministratori, il comando /scripts/upcp --force è l'unico modo per garantire che il server non sia più sfruttabile. Questo dovrebbe essere eseguito immediatamente tramite una sessione SSH root.

Un dettaglio rimane poco chiaro nell'informativa ufficiale. cPanel aveva precedentemente avvertito che una falla di Exim poteva consentire l'escalation dei privilegi dagli account secondari Team User. La notifica del 27 agosto non specifica se questi account secondari possano sfruttare anche la vulnerabilità dei domini aggiuntivi. In un ambiente zero trust, si dovrebbe presumere che qualsiasi account con il permesso di gestire domini sia un potenziale vettore. Limitare chi può aggiungere domini è una contromisura logica fino a quando la patch non viene verificata.

Integrità dei dati e la triade CIA

Quando valutiamo questo aspetto attraverso la triade CIA, l'impatto sull'integrità e sulla riservatezza è totale. Un utente root può leggere ogni file (Riservatezza) e modificare qualsiasi database (Integrità). Può anche spegnere l'intero sistema o eliminare i backup (Disponibilità). Ecco perché la mancanza di un punteggio CVSS nel record CVE al 28 agosto è sorprendente. Data la descrizione, questa falla soddisfa ogni criterio per un punteggio di 9.8 o 10.0.

Ho visto molti amministratori trattare gli aggiornamenti del pannello di controllo come una bassa priorità perché hanno un firewall. Ma un firewall è un fossato di un castello ormai obsoleto quando l'aggressore è già all'interno delle mura come cliente legittimo. Il perimetro di rete non protegge da un utente che ha un login valido per cPanel. In questo scenario, il software stesso diventa il cavallo di Troia digitale.

Azioni immediate per gli amministratori

La sicurezza è un gioco reattivo, ma il tempo di risposta determina l'entità del danno. Se gestisci un server cPanel, il primo passo è verificare la versione corrente. Puoi trovarla in WHM sotto Configurazione del Server. Se non sei su una delle versioni patchate menzionate sopra, stai eseguendo un server in cui ogni cliente è un potenziale utente root.

1. Accedi al tuo server come root tramite SSH.
2. Esegui lo script di aggiornamento manualmente per bypassare la pianificazione giornaliera: /scripts/upcp --force.
3. Controlla il file /etc/ld.so.preload per eventuali librerie che non riconosci.
4. Controlla i tuoi log di Apache per attività insolite relative alle aggiunte di domini nelle ultime 48 ore.
5. Conferma che tutti gli account Team User abbiano solo i permessi strettamente necessari.

Fonti: cPanel Security Advisories, CISA Known Exploited Vulnerabilities Catalog, NIST National Vulnerability Database, Plesk Technical Support Documentation, MITRE ATT&CK Framework.

Dichiarazione di non responsabilità: questo articolo è solo a scopo informativo ed educativo e non sostituisce un audit di sicurezza informatica professionale o un servizio di risposta agli incidenti.