Pesquisadores de segurança estão soando o alarme sobre uma vulnerabilidade recentemente descoberta no cPanel e no WebHost Manager (WHM), softwares amplamente utilizados para gerenciamento de servidores web. O bug permite que hackers sequestrem e assumam o controle total dos servidores que executam o software afetado, que é usado por dezenas de milhões de proprietários de sites em todo o mundo.
Muitas empresas de hospedagem web comerciais já corrigiram os sistemas de seus clientes, mas o fabricante do cPanel instou os clientes a garantir que seus sistemas estejam atualizados, pois o bug afeta todas as versões suportadas do software. O cPanel e o WHM são dois conjuntos de software usados para gerenciar servidores web que hospedam sites, administram e-mails e lidam com configurações e bancos de dados importantes para manter um domínio na internet. As duas suítes têm acesso profundo aos servidores que gerenciam, permitindo que um hacker malicioso tenha acesso potencialmente irrestrito aos dados gerenciados pelo software afetado.
O bug, registrado oficialmente como CVE-2026-41940, permite que hackers maliciosos burlem remotamente a tela de login para obter acesso total ao painel de administração do software. Devido à ubiquidade do cPanel e do WHM na indústria de hospedagem web, hackers podem comprometer potencialmente um grande número de sites que não corrigiram a falha. A agência de segurança cibernética nacional do Canadá afirmou em um comunicado que o bug pode ser explorado para comprometer sites em servidores de hospedagem compartilhada, como grandes empresas de hospedagem web. A agência disse que a 'exploração é altamente provável' e que a ação imediata dos clientes do cPanel, ou de seus provedores de hospedagem, é necessária para evitar acessos maliciosos.
A gigante de hospedagem web Namecheap, que usa o cPanel para permitir que seus clientes gerenciem seus servidores, disse que bloqueou o acesso aos painéis dos clientes após tomar conhecimento da falha para evitar exploração e dar tempo para corrigir os sistemas. A HostGator também informou que corrigiu seus sistemas e está considerando o bug como uma 'exploração crítica de bypass de autenticação'. Especialistas recomendam que todos os administradores de servidores verifiquem se as atualizações de segurança já foram aplicadas e monitorem os sistemas em busca de atividades suspeitas.
