A WebPros, empresa que desenvolve o cPanel, lançou atualizações de segurança que corrigem três problemas nos populares painéis de alojamento cPanel e WHM. A falha mais grave, identificada como CVE-2026-58048, permite que um cliente já autenticado de uma conta cPanel execute comandos de base de dados com privilégios administrativos totais e, em certas configurações, chegue a comprometer o sistema operativo. CVE-2026-58048 (CVSS 4.0: 9.4) afeta todas as versões suportadas de cPanel e WHM, além do WP Squared. O aviso surge poucos meses depois de outra vulnerabilidade crítica do cPanel (CVE-2026-41940) ter sido explorada em massa a nível global.
Resposta rápida: A cPanel corrigiu três vulnerabilidades. A mais crítica, CVE-2026-58048 (CVSS 9.4), permite que um utilizador com conta cPanel e acesso a MySQL/MariaDB corra SQL com privilégios de administrador da base de dados. Atualize já para uma versão corrigida (11.110.0.137, 11.126.0.78, 11.134.0.48, 11.136.0.32 ou 11.138.1.6 no WP2). Quem não puder atualizar de imediato deve revogar temporariamente a funcionalidade MySQL dos utilizadores cPanel.
O que é a falha CVE-2026-58048
A vulnerabilidade principal situa-se no processo de renomeação de bases de dados do cPanel. Segundo o registo do CNA (autoridade de numeração de CVE), o modo SQL não é preservado quando uma base de dados é renomeada, o que faz com que o SQL passe a correr em contexto de administrador. Na prática, uma operação de gestão que devia estar limitada aos privilégios do utilizador acaba por ser executada com privilégios elevados.
Para explorar a falha, o atacante não pode ser um estranho anónimo qualquer: é necessária uma conta cPanel válida e acesso à funcionalidade MySQL/MariaDB. A partir daí, o titular da conta pode executar comandos de base de dados com privilégios administrativos totais. Segundo a WebPros, o atacante tem de já ter acesso a uma conta cPanel e permissão para usar as funcionalidades MySQL ou MariaDB para conseguir escalar privilégios no ambiente da base de dados.
Convém notar uma nuance importante para a classificação de risco. Uma classificação de “crítica” mede a gravidade, mas não diz quantos servidores têm alguém em posição de usar a falha — essa população depende de quem detém contas na máquina: um servidor cujas contas pertencem todas a uma empresa é uma proposição diferente de um que vende contas a estranhos. Isto é relevante porque o cenário de risco muda consoante o tipo de alojamento. Ainda assim, a linha não é limpa, já que contas podem ser vítimas de phishing ou revendidas.
O aviso do fabricante intitula o problema como escalada de privilégios e não usa a expressão “injeção de SQL”. Também o aviso e o registo CVE não identificam o input injetado, o modo SQL afetado nem o payload exato, o que limita a informação técnica publicamente disponível.
Estado de exploração segundo a CISA
À data de publicação do aviso, não há indicação de exploração ativa. O enriquecimento da CISA de 4 de agosto registou “Exploitation: none”, avaliou a falha como não automatizável e classificou o seu impacto técnico como total. Esta é, contudo, uma fotografia de um momento e não garante nada sobre a evolução nos dias seguintes. A avaliação da VulDB reforça a natureza do problema: a vulnerabilidade reside no sistema de gestão de bases de dados do cPanel, onde o tratamento incorreto das definições de modo SQL durante operações de renomeação cria um vetor de escalada de privilégios.
As outras duas correções: cpsrvd e Exim
O mesmo ciclo de atualizações inclui mais dois avisos. O primeiro, CVE-2026-58047 (CVSS 4.0: 5.6), é um problema de HTTP request smuggling no cpsrvd, o daemon que serve as interfaces cPanel e WHM. Em condições limitadas, um atacante remoto não autenticado pode manipular respostas entregues a outros utilizadores no mesmo servidor, e o registo do CNA indica que podem, em consequência, fugir credenciais. Onde a aplicação do patch tiver de esperar, a solução de contorno é desativar a reutilização de ligações no backend definindo cpsrvd_keepalives_disabled=1 em /var/cpanel/cpanel.config e reiniciar o cpsrvd. Segundo a cPanel, este contorno força uma nova ligação TCP e TLS por cada pedido nas portas 2083, 2087 e 2096, aumentando a latência e o uso de CPU em servidores movimentados. Ambas as falhas foram creditadas a Vincent55 Yang.
O terceiro aviso diz respeito ao servidor de e-mail Exim. O identificador GCVE-25-2026-07-45-3 refere-se a um problema em que o ficheiro .forward de um utilizador local pode desencadear expansão de string insegura no router de redirecionamento, sob certas configurações de pipe-transport. Na configuração predefinida do cPanel, a expansão e a execução ocorrem como o utilizador cPanel, o que a empresa afirma poder permitir escalada de privilégios a partir de subcontas Team User.
Versões corrigidas e como atualizar
De acordo com o aviso público, as versões corrigidas são a 11.110.0.137, 11.126.0.78, 11.134.0.48, 11.136.0.32 e 11.138.1.6 (WP2), e a atualização inclui melhorias adicionais de reforço de segurança para certas configurações de sistema operativo suportadas. Para a falha da base de dados, os servidores que não possam atualizar de imediato podem revogar temporariamente a funcionalidade MySQL dos utilizadores cPanel, o que mantém as bases de dados existentes a funcionar mas impede que os utilizadores adicionem ou removam bases de dados.
| Identificador | Componente | CVSS 4.0 | Pré-requisito |
|---|---|---|---|
CVE-2026-58048 | Gestão de bases de dados | 9.4 (Crítica) | Conta cPanel autenticada com acesso a MySQL/MariaDB |
CVE-2026-58047 | cpsrvd (HTTP request smuggling) | 5.6 (Média) | Atacante remoto não autenticado, condições limitadas |
GCVE-25-2026-07-45-3 | Exim (mail) | N/D | Utilizador local / subconta Team User |
Uma recomendação recorrente da comunidade de segurança é não confiar apenas na atualização automática: servidores com auto-update desativado ou com fixação de versão não se atualizam sozinhos, e é aconselhável reiniciar o cpsrvd após a atualização. Administradores devem verificar a versão instalada com /usr/local/cpanel/cpanel -V e confirmar que corresponde a uma das versões seguras.
Contexto: um segundo susto no cPanel em poucos meses
Estas correções chegam num ano particularmente agitado para o ecossistema cPanel. Em abril, a CVE-2026-41940, um bypass de autenticação com CVSS de 9,8, começou a ser explorada em ataques reais, com indícios de exploração dirigida como zero-day a partir de 23 de fevereiro, antes da divulgação pública. Nessa altura, o cPanel e o WHM eram apontados como software de painel de controlo de alojamento para mais de 70 milhões de domínios, o que dá a dimensão do impacto potencial de qualquer falha nesta plataforma.
A diferença face à CVE-2026-58048 é importante: a falha de abril permitia acesso não autenticado (qualquer pessoa na rede), enquanto a nova falha da base de dados exige que o atacante já possua uma conta no servidor. Ainda assim, em ambientes de alojamento partilhado, onde múltiplos clientes coabitam no mesmo servidor, o risco de escalada entre contas é concreto — sobretudo quando contas legítimas podem ser comprometidas por phishing.
Porque é que isto importa em Portugal
Muitos sites de PME, associações e profissionais portugueses assentam em alojamento partilhado gerido por cPanel/WHM. Uma escalada de privilégios que permita executar SQL como administrador pode significar acesso a bases de dados com dados pessoais de clientes — o que aciona obrigações ao abrigo do RGPD, incluindo a eventual notificação de violação de dados à CNPD no prazo de 72 horas quando houver risco para os titulares.
Para organizações abrangidas pelo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2), a gestão de vulnerabilidades e a aplicação atempada de patches são parte das medidas de gestão de risco exigidas. O CNCS e o CERT.PT recomendam habitualmente a atualização imediata de software exposto e a monitorização de indicadores de comprometimento. Mesmo quem apenas contrata alojamento deve confirmar com o seu fornecedor se as versões corrigidas já foram aplicadas.
Perguntas frequentes
A CVE-2026-58048 pode ser explorada por qualquer pessoa na internet?
Não. Ao contrário da falha de abril (CVE-2026-41940), esta exige uma conta cPanel válida com acesso às funcionalidades MySQL ou MariaDB. O risco concentra-se em servidores de alojamento partilhado, onde contas legítimas podem também ser comprometidas por phishing ou revenda.
Para que versão devo atualizar?
Para uma das versões corrigidas: 11.110.0.137, 11.126.0.78, 11.134.0.48, 11.136.0.32 ou 11.138.1.6 (WP2). Confirme a versão instalada com o comando /usr/local/cpanel/cpanel -V e reinicie o cpsrvd após a atualização.
E se não puder atualizar de imediato?
Para a falha da base de dados, pode revogar temporariamente a funcionalidade MySQL aos utilizadores cPanel, o que mantém as bases de dados existentes a funcionar mas impede adicionar ou remover bases de dados. Para o problema no cpsrvd existe uma solução de contorno que desativa a reutilização de ligações, embora aumente latência e uso de CPU.
Há sinais de exploração ativa?
À data do aviso, o enriquecimento da CISA de 4 de agosto registou exploração “nenhuma” e classificou a falha como não automatizável, mas com impacto técnico total. Trata-se de uma fotografia de um momento e a situação pode mudar, pelo que a atualização não deve ser adiada.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela WebPros/cPanel, pela CISA, pelo registo CVE do CNA HackerOne e por investigadores de segurança.