O seu site está em cPanel? Uma falha nos domínios estacionados dá acesso root

Uma nova vulnerabilidade crítica no cPanel & WHM, o painel de controlo que sustenta grande parte do alojamento web partilhado em Portugal e no mundo, permite que um simples cliente de um plano barato de hosting tome conta do servidor inteiro. Segundo o aviso de segurança publicado pelo cPanel a 27 de agosto de 2026, a falha, identificada como CVE-2026-65643, afeta a funcionalidade de domínios estacionados (parked domains) e de domínios adicionais (addon domains), e permite que um atacante com uma conta cPanel autenticada e com permissão para adicionar esses domínios crie ficheiros arbitrários no servidor subjacente. O resultado pode ser execução de código com privilégios de root, ou seja, controlo total da máquina e acesso a dados de todas as contas, sites, aplicações e bases de dados alojados nesse servidor.

Porque é que esta falha é tão perigosa

O que torna este caso particularmente grave não é a sofisticação técnica, mas a facilidade de acesso ao ponto de partida. Estacionar um domínio é uma operação banal: serve para apontar um nome de domínio adicional para um site já existente, sem criar uma conta nova. A funcionalidade está disponível na esmagadora maioria dos planos de alojamento partilhado e de revenda, e a exploração exige apenas uma conta cPanel legítima com permissão para adicionar domínios estacionados ou adicionais — algo que se obtém com um plano barato ou através de uma conta de cliente comprometida.

Num ambiente multi-inquilino, a fronteira entre contas é precisamente o que garante que o site de uma PME não vê os dados do vizinho. Quando essa fronteira cai ao nível de root, deixa de existir isolamento: um único cliente malicioso, ou uma única conta roubada por phishing, pode significar comprometimento de dezenas ou centenas de sites no mesmo servidor.

Nas fontes consultadas não foi possível confirmar uma pontuação CVSS publicada para o CVE-2026-65643, nem existe, até ao momento, confirmação pública de exploração ativa. A ausência de indicadores de comprometimento no aviso é, aliás, uma das limitações apontadas: ao contrário de outros casos recentes, não foi divulgado um comando simples de verificação de logs que permita a um administrador saber se já foi atacado.

Alojadores já tomaram medidas preventivas

A reação de alguns fornecedores dá a medida da urgência. Num comunicado com data de 27 de agosto de 2026, às 21h30 UTC, o alojador Reclaim Hosting informou os clientes de uma vulnerabilidade no pacote cPanel/WHM usado em parte da sua infraestrutura e desativou temporariamente a possibilidade de criar novos subdomínios, domínios adicionais e domínios estacionados nos servidores afetados. A restrição aplicou-se apenas à criação de novos domínios, não afetando os já existentes.

Do lado das autoridades, o Centro Canadiano de Cibersegurança emitiu o alerta AV26-861, com data de 28 de agosto de 2026, referindo que, desde 27 de agosto, o cPanel é afetado por vulnerabilidades nos seus produtos.

Um ano difícil para o cPanel

Esta não é a primeira emergência de 2026 para o ecossistema cPanel — é a mais recente de uma série. A escala ajuda a perceber o impacto: o cPanel e o WHM constituem a solução de painel de controlo que, dependendo das estimativas, gere dezenas de milhões de domínios.

O aviso de abril abrangeu versões anteriores a 11.86.0.41, 11.110.0.97, 11.118.0.63, 11.126.0.54, 11.130.0.19, 11.132.0.29, 11.136.0.5, 11.134.0.20 e WP Squared 11.136.1.7, e a CISA acrescentou o CVE-2026-41940 ao KEV a 30 de abril de 2026. Essa falha, classificada como contorno de autenticação com CVSSv3 de 9,8, permitia a um atacante remoto não autenticado obter acesso de nível root à consola de gestão. O fabricante, a WebPros, publicou o aviso a 28 de abril e lançou atualizações poucas horas depois; segundo o CEO da KnownHost, Daniel Pearson, a empresa começou imediatamente a bloquear as portas de login do WHM/cPanel na sua rede, tendo outros alojadores feito o mesmo.

Em julho, o padrão repetiu-se com outra falha pós-autenticação. O CVE-2026-58048, na funcionalidade de gestão de bases de dados, permitia a um titular de conta cPanel autenticado com acesso à funcionalidade MySQL/MariaDB executar comandos de base de dados com privilégios administrativos totais, e o registo CVE tem uma pontuação base CVSS v4.0 de 9,4 (crítica). As correções foram publicadas a 30 de julho de 2026, com builds distintos para cada ramo suportado.

O que fazer agora, passo a passo

A mitigação essencial é a atualização. Como os builds corrigidos variam consoante o ramo instalado, não existe uma versão-alvo única: os administradores devem confirmar que ramo cada servidor segue antes de atualizar e aplicar o build correspondente, e os servidores em ramos mais antigos ou de suporte prolongado precisam do build específico da lista do fabricante e não da versão mais recente.

• Atualize e confirme. A atualização é despoletada por SSH, com root, executando /scripts/upcp, que força o descarregamento e instalação das atualizações de segurança; no fim, o comando /usr/local/cpanel/cpanel -V permite verificar a versão instalada.
• Verifique se as atualizações automáticas estão realmente ativas. Servidores com a atualização automática definida como never ou fixados num build específico não recebem a correção automaticamente; convém rever o ficheiro /etc/cpupdate.conf.
• Restrinja permissões. Priorize a correção de servidores cPanel/WHM expostos à Internet, sobretudo os multi-inquilino, e limite as capacidades de gestão de domínios apenas aos utilizadores que delas necessitam.
• Procure sinais de abuso. As equipas de segurança devem investigar criação inesperada de ficheiros, adições invulgares de domínios, alterações não autorizadas em diretórios web, tarefas cron suspeitas, novos utilizadores privilegiados, chaves SSH alteradas e tráfego de saída inexplicado; um comprometimento confirmado deve ser tratado como incidente de servidor completo e não como falha isolada de uma conta.
• Se está em alojamento gerido, pergunte. Peça ao fornecedor confirmação escrita do build instalado e da data de aplicação da correção.

Porque é que isto importa em Portugal

A maioria das PME portuguesas não gere servidores: compra alojamento partilhado a um fornecedor nacional ou internacional. Isso não elimina o risco, apenas o transfere para a cadeia de fornecimento. Uma falha que dá root no servidor onde está o site da empresa expõe potencialmente a base de dados de clientes, as caixas de correio e os ficheiros carregados — com consequências diretas ao abrigo do RGPD, que obriga à notificação de violações de dados pessoais à CNPD, em regra no prazo de 72 horas, e à comunicação aos titulares quando o risco for elevado. Ter contrato de alojamento não transfere a responsabilidade do responsável pelo tratamento.

Do lado das obrigações de cibersegurança, o novo Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 que transpõe a diretiva NIS2, coloca fornecedores de infraestruturas digitais e de serviços geridos no perímetro de entidades abrangidas, com deveres de gestão de risco, segurança da cadeia de abastecimento e notificação de incidentes significativos ao CNCS. Para as organizações abrangidas, a gestão de vulnerabilidades deixou de ser boa prática opcional: passou a ser requisito legal, com prazos apertados de reporte. Para as restantes, o CERT.PT continua a ser o ponto de contacto natural para reportar incidentes e obter apoio.

A lição operacional é simples e repete-se: painéis de controlo de alojamento são infraestrutura crítica disfarçada de ferramenta de conveniência. Manter o build atualizado, restringir funcionalidades desnecessárias e exigir transparência ao fornecedor são as três medidas que mais reduzem o risco.

Perguntas frequentes

O que é o CVE-2026-65643?

É uma vulnerabilidade crítica divulgada a 27 de agosto de 2026 que afeta as funcionalidades de domínios estacionados e domínios adicionais do cPanel & WHM. Uma conta autenticada com permissão para adicionar esses domínios pode criar ficheiros arbitrários no servidor, o que pode levar a execução de código como root.

Tenho um site alojado em cPanel. Estou em risco?

O risco depende de o servidor onde o site está alojado já ter sido atualizado. Se o alojamento é gerido, contacte o fornecedor e peça confirmação do build instalado. Se gere o próprio servidor, atualize imediatamente para o build corrigido do seu ramo.

Como sei se o meu servidor já está corrigido?

Por SSH, com o utilizador root, o comando /usr/local/cpanel/cpanel -V mostra a versão instalada, que deve ser comparada com a lista de builds corrigidos do aviso oficial para o ramo em causa. Servidores em versões em fim de vida não recebem a correção sem migrar para um ramo suportado.

Esta falha obriga a notificar a CNPD ou o CNCS?

A existência da vulnerabilidade, por si só, não obriga. Se houver comprometimento com acesso a dados pessoais, aplica-se o dever de notificação à CNPD ao abrigo do RGPD; entidades abrangidas pelo Regime Jurídico da Cibersegurança devem ainda reportar incidentes significativos ao CNCS nos prazos previstos.

Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo cPanel/WebPros, pelo Centro Canadiano de Cibersegurança, por alojadores afetados e por investigadores de segurança.