O cPanel, o painel de controlo que sustenta uma parte substancial do alojamento web mundial, voltou a corrigir uma falha crítica que permite a um cliente comum de alojamento assumir o controlo total da máquina onde estão hospedados dezenas ou centenas de sites. A vulnerabilidade, identificada como CVE-2026-67401, é uma injeção de SQL na funcionalidade EmailTrack que permite a um titular de conta autenticado criar ficheiros arbitrários no servidor e, em última análise, executar código com privilégios de root; foi publicada a 8 de setembro de 2026 e afeta todas as versões suportadas do cPanel e do WHM anteriores às respetivas correções. Para empresas portuguesas em alojamento partilhado ou revenda, o risco não está no seu site — está no vizinho de servidor.
Resposta rápida: O cPanel divulgou a 8 de setembro de 2026 a CVE-2026-67401, uma injeção de SQL no EmailTrack que permite a uma conta autenticada com privilégios de correio criar ficheiros no servidor e executar código como root. Afeta todas as versões suportadas de cPanel e WHM abaixo das builds corrigidas. Quem administra o servidor deve atualizar de imediato (por exemplo com /usr/local/cpanel/scripts/upcp --force) e confirmar a build instalada; quem usa alojamento partilhado deve pedir ao fornecedor a confirmação da versão em execução.
O que é a CVE-2026-67401 e porque é tão perigosa
O EmailTrack é a funcionalidade que regista e apresenta dados de rastreio de entrega de mensagens, o que a torna particularmente relevante em cenários em que utilizadores finais ou contas de revenda têm acesso às ferramentas de e-mail. É, por isso, uma superfície de ataque banal: está ativa por defeito em muitos planos e não requer nada de exótico.
Segundo o aviso de segurança do cPanel de 8 de setembro, a exploração começa numa conta cPanel autenticada com privilégios relacionados com correio; o fabricante indica que é possível abusar desse acesso através do EmailTrack para criar ficheiros arbitrários no servidor, com o resultado a ser execução de código como utilizador root e controlo completo do anfitrião. Na prática, é aquilo que a indústria designa por quebra da fronteira tenant-to-host: o inquilino sai do seu apartamento e fica com as chaves do edifício.
Há um detalhe importante para quem faz gestão de risco: o aviso descreve o problema como injeção de SQL, mas não publica detalhes técnicos de exploração, código de prova de conceito, parâmetros de pedido afetados nem pontuação CVSS — e essa contenção significa que os defensores não devem assumir que a ausência de exploit público equivale a baixa exposição. À data de escrita, consultas ao registo público do identificador CVE-2026-67401 não devolvem ficha publicada, pelo que a fonte de verdade continua a ser o boletim do fabricante.
Quem está afetado e como corrigir
O requisito de autenticação reduz o alcance de varreduras massivas na Internet, mas não protege ambientes multi-inquilino. Como a execução ao nível de root dá controlo completo do anfitrião, a vulnerabilidade representa risco severo para fornecedores de alojamento partilhado, empresas que operam servidores multi-inquilino e administradores que delegam a gestão de correio através das contas cPanel — e, embora não seja necessário um ponto de apoio não autenticado, é preciso possuir credenciais cPanel válidas com permissões de correio.
| Elemento | Detalhe verificado |
|---|---|
| Identificador | CVE-2026-67401 |
| Componente | Funcionalidade EmailTrack do cPanel |
| Tipo | Injeção de SQL com criação arbitrária de ficheiros |
| Impacto | Execução de código como root |
| Pré-requisito | Conta cPanel autenticada com privilégios de correio |
| Divulgação | 8 de setembro de 2026 |
| CVSS | Não publicado no aviso do fabricante |
Quanto à remediação, os administradores devem aplicar de imediato os patches de segurança, atualizando cPanel e WHM pelo painel WHM ou pela linha de comandos — é possível forçar a atualização com /usr/local/cpanel/scripts/upcp --force — e consultar o aviso oficial do cPanel para o detalhe das builds corrigidas, sendo referidas as versões v11.138.0.4 e WP2 v11.138.1.9. Como o cPanel mantém vários ramos de versões em simultâneo, a build correta depende do ramo que o servidor segue: comparar apenas o número da versão maior é insuficiente.
Higiene de acessos e caça a sinais de compromisso
Corrigir fecha a porta, mas não desfaz o que já possa ter sido feito. As recomendações divulgadas para esta falha vão exatamente nesse sentido: rever quais as contas com privilégios relacionados com correio, desativar acessos desnecessários, rodar credenciais onde haja suspeita de compromisso e examinar atividade recente do EmailTrack; implementar monitorização de integridade de ficheiros, deteção de web shells e inspeção de ficheiros pertencentes ao root ou modificados de forma inesperada; e, do lado dos fornecedores de alojamento, tratar qualquer início de sessão suspeito de uma conta cPanel de baixo privilégio como potencial compromisso total do servidor até que uma revisão forense o desminta.
Vale ainda lembrar que a exigência de autenticação não reduz significativamente o risco depois de roubo de credenciais, phishing, reutilização de passwords ou compromisso de contas de revendedor. Ou seja: uma campanha de phishing bem-sucedida contra um cliente de alojamento deixa de ser um problema de um site e passa a ser um problema de infraestrutura.
Um padrão que se repete desde abril
Esta correção não surge no vácuo. 2026 foi um ano particularmente agitado para o ecossistema cPanel, começando com uma falha explorada como zero-day durante meses.
| Data | Acontecimento |
|---|---|
| 23 fev. 2026 | Data mais antiga de exploração da CVE-2026-41940 apontada por um fornecedor de alojamento |
| 28 abr. 2026 | Divulgação e correção da CVE-2026-41940 (CVSS 9.8), bypass de autenticação |
| 30 jul. 2026 | Correção da CVE-2026-58048 (CVSS 4.0: 9.4) e da CVE-2026-58047 |
| 27 ago. 2026 | Correção da CVE-2026-65643, root a partir de domínios parked/addon |
| 8 set. 2026 | Divulgação da CVE-2026-67401 no EmailTrack |
A falha de abril é o melhor argumento para tratar estes avisos com urgência. A CVE-2026-41940 foi anunciada a 28 de abril de 2026, afetando cPanel & WHM e WP Squared, com CVSS 9.8, e resulta de uma injeção de CRLF nos processos de início de sessão e de carregamento de sessão. O centro de cibersegurança canadiano classificou a exploração como altamente provável e exigiu ação imediata. Foi acrescentada ao catálogo de vulnerabilidades exploradas conhecidas da CISA e dados da Shadowserver Foundation indicaram que pelo menos 44 000 endereços IP provavelmente comprometidos através dessa falha estiveram envolvidos em varrimentos e ataques de força bruta contra os seus honeypots a 30 de abril de 2026, número que baixou para 3 540 a 3 de maio.
Em julho, a CVE-2026-58048 permitia a um titular de conta autenticado com acesso à funcionalidade de bases de dados MySQL/MariaDB executar comandos de base de dados com privilégios administrativos completos, em vez de ficar confinado às bases de dados e permissões da sua própria conta, com pontuação CVSS v4.0 de 9.4. Em ambientes de alojamento partilhado, isso podia permitir acesso não autorizado ou manipulação de bases de dados pertencentes a outros clientes no mesmo servidor. Em agosto, a CVE-2026-65643 permitia a um titular de conta com permissão para adicionar domínios parked ou addon criar ficheiros arbitrários e chegar a execução de código como root, afetando todas as linhas de lançamento suportadas abaixo das builds corrigidas, com impacto especialmente elevado em alojamento partilhado e de revenda.
Porque é que isto importa em Portugal
A esmagadora maioria das PME portuguesas não administra o seu próprio servidor: compra alojamento partilhado, revenda ou gestão a um fornecedor. Isso transforma esta falha num risco de cadeia de fornecimento — muitas organizações não gerem diretamente o cPanel, dependendo do fornecedor de alojamento, e se este demorar a corrigir a janela de compromisso alarga-se por várias camadas: servidores do fornecedor, sites, bases de dados e contas de correio de cada cliente, abrangendo qualquer organização em alojamento partilhado, de revenda ou gerido.
Do ponto de vista legal, um compromisso ao nível de root num servidor de alojamento significa acesso potencial a bases de dados com dados pessoais de clientes, formulários, faturação e caixas de correio. Isso coloca o incidente diretamente no perímetro do RGPD, com obrigações de notificação à CNPD em 72 horas quando há risco para os direitos e liberdades dos titulares, e obriga o responsável pelo tratamento a demonstrar que escolheu um subcontratante com garantias adequadas. Para as entidades abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), acrescem deveres de gestão de risco, gestão de vulnerabilidades e comunicação de incidentes significativos ao CNCS, sendo o CERT.PT o ponto de contacto natural para apoio na resposta.
Na prática, o que uma PME ou um profissional deve fazer nos próximos dias é curto e concreto:
- Pedir ao fornecedor de alojamento a build completa do cPanel em execução e a data em que aplicou a correção;
- Ativar autenticação multifator e rodar as passwords das contas cPanel, FTP e correio;
- Revogar acessos de revendedores, agências ou freelancers que já não trabalhem com a organização;
- Confirmar que existem cópias de segurança fora do servidor afetado e testar o restauro;
- Registar no inventário de risco a dependência do painel de alojamento, para efeitos de gestão de fornecedores.
Perguntas frequentes
Sou cliente de alojamento partilhado. Tenho de fazer alguma coisa?
Não pode aplicar o patch, porque a atualização é feita pelo fornecedor com acesso root. O que deve fazer é pedir confirmação da build completa em execução e da data da correção, reforçar as credenciais das suas contas e verificar se existem ficheiros ou tarefas agendadas que não reconhece.
A CVE-2026-67401 está a ser explorada ativamente?
Não há, nas fontes consultadas, confirmação de exploração ativa desta falha nem publicação de prova de conceito. O fabricante também não divulgou pontuação CVSS nem detalhes técnicos, pelo que a ausência de exploit público não deve ser lida como ausência de risco.
Como confirmo que o meu servidor já está corrigido?
Com acesso root, force a atualização com o script de atualização do cPanel e valide depois a build completa instalada, comparando-a com a lista de versões corrigidas do aviso oficial. Servidores em versões em fim de vida não recebem a correção e têm de migrar para um ramo suportado.
Se o meu site for comprometido, tenho de notificar a CNPD?
Se houver acesso indevido a dados pessoais e risco para os titulares, existe obrigação de notificação à CNPD no prazo de 72 horas, além da comunicação aos titulares quando o risco for elevado. Entidades abrangidas pelo Regime Jurídico da Cibersegurança têm ainda deveres próprios de comunicação de incidentes ao CNCS.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pelo cPanel (WebPros), pelo Canadian Centre for Cyber Security, pela Cyber Security Agency of Singapore, pela Rapid7, pela Shadowserver Foundation e por investigadores de segurança que analisaram as falhas em causa.