Podrían resultar en denegación de servicio o una posible escalada de privilegios
cPanel ha publicado actualizaciones para solucionar tres vulnerabilidades en cPanel y Web Host Manager (WHM) que podrían ser explotadas para lograr la escalada de privilegios, la ejecución de código y la denegación de servicio.
La lista de vulnerabilidades es la siguiente:
• CVE-2026-29201 (puntuación CVSS: 4.3) - Una validación de entrada insuficiente del nombre del archivo de características en la llamada adminbin "feature::LOADFEATUREFILE" podría resultar en una lectura arbitraria del archivo.
• CVE-2026-29202 (puntuación CVSS: 8.8) - Una validación de entrada insuficiente del parámetro "plugin" en la llamada a la API "create_user" que podría resultar en la ejecución de código Perl arbitrario en nombre del usuario del sistema de la cuenta ya autenticada.
• CVE-2026-29203 (puntuación CVSS: 8,8): una vulnerabilidad de manejo inseguro de enlaces simbólicos que permite a un usuario modificar los permisos de acceso de un archivo arbitrario mediante chmod, lo que resulta en una denegación de servicio o una posible escalada de privilegios.
cPanel ha lanzado la versión 110.0.114 como actualización directa para los clientes que aún utilizan CentOS 6 o CloudLinux 6. Se recomienda a los usuarios actualizar a las versiones más recientes para una protección óptima.
Aunque no hay pruebas de que las vulnerabilidades se hayan explotado en la práctica, la revelación se produce días después de que otro fallo crítico del producto (CVE-2026-41940) haya sido utilizado por ciberdelincuentes como una vulnerabilidad de día cero para distribuir variantes de la botnet Mirai y una cepa de ransomware llamada Sorry.
