O cPanel corrigiu três vulnerabilidades que quebram o isolamento entre contas hospedadas no mesmo servidor. Em servidores compartilhados, esse isolamento é justamente o que impede um cliente de alcançar os dados do cliente ao lado.
A primeira, identificada como CVE-2026-68490, está nos componentes CalDAV e CardDAV e permite a leitura não autorizada de calendários e contatos de outras contas. O acesso é somente de leitura, sem possibilidade de alterar o conteúdo.
O dado exposto é mais sensível do que parece. A falha revela nomes, endereços de e-mail, relações comerciais e compromissos agendados, material valioso para quem prepara um ataque de engenharia social bem direcionado.
A segunda, CVE-2026-87899, está nos mesmos componentes e é a mais grave do conjunto. Ela permite elevação de privilégio e execução de código como root, o que dá controle completo sobre o servidor. A exploração exige uma conta cPanel autenticada.
A terceira, CVE-2026-87900, afeta o comando de criação de banco de dados do WP Toolkit e permite modificar bancos de dados pertencentes a outras contas. São atingidas as versões 6.11.2-10794 e anteriores, com correção na 6.11.3.
Nas duas primeiras, estão afetadas as versões 120 e posteriores do cPanel e do WHM. As correções estão nas versões 11.134.0.57, 11.136.0.41 e 11.138.0.8, além da 11.138.1.11 ou superior no WP Squared.
A atualização pode ser feita pelo WHM, em Home, cPanel, Upgrade to Latest Version, ou pela linha de comando com o script upcp executado como root. A recomendação é aplicar de imediato e revisar os registros em busca de acessos cruzados entre contas.
