Múltiples vulnerabilidades en cPanel

Fecha de publicación 11/05/2026

Identificador

INCIBE-2026-335

Recursos Afectados

Están afectadas las versiones de cPanel y WHM anteriores a las indicadas a continuación:
- 11.136.0.9;
- 11.134.0.25;
- 11.132.0.31;
- 11.130.0.22;
- 11.126.0.58;
- 11.124.0.37;
- 11.118.0.66;
- 11.110.0.116;
- 11.110.0.117;
- 11.102.0.41;
- 11.94.0.30;
- 11.86.0.43.

Descripción

cPanel ha publicado 3 vulnerabilidades: 2 de severidad alta y 1 de severidad media, cuya explotación podría permitir a un atacante leer archivos arbitrarios, escalar privilegios, o provocar una condición de denegación de servicio (DoS).

Solución

Las vulnerabilidades han sido resueltas en las siguientes versiones o versiones superiores:
- 11.136.0.9;
- 11.134.0.25;
- 11.132.0.31;
- 11.130.0.22;
- 11.126.0.58;
- 11.124.0.37;
- 11.118.0.66;
- 11.110.0.116;
- 11.110.0.117;
- 11.102.0.41;
- 11.94.0.30;
- 11.86.0.43.

Detalle

CVE-2026-29202: validación insuficiente de los datos introducidos en el parámetro 'plugin' del complemento 'create_user' permite la ejecución de código Perl arbitrario en nombre del usuario del sistema de la cuenta ya autenticada.
CVE-2026-29203: una llamada a 'chmod' en el complemento Nova de cPanel, concretamente en el módulo 'Cpanel::Nova::Connector', sigue los enlaces simbólicos, lo que permite establecer permisos de root en archivos o directorios arbitrarios del sistema. Esto puede provocar un ataque de denegación de servicio (DoS) o una escalada de privilegios locales cuando un usuario autenticado de cPanel introduce un enlace simbólico en una ruta heredada de Nova controlada por el usuario dentro de su directorio de inicio.

Se ha asignado el identificador CVE-2026-29201 para la vulnerabilidad de severidad media.

CVE