La falla de cPanel no necesita romper la puerta: le basta con ser cliente

CVE-2026-58048, CVSS 9.4, afecta a todas las versiones de cPanel, WHM y WP Squared. Exige una cuenta autenticada, y por eso mismo es peor de lo que suena: en hosting compartido, tener cuenta es exactamente lo que le vendieron a todos los vecinos.

Qué pasó

El 4 de agosto de 2026 la ANCI publicó AVC26-00727, alerta de vulnerabilidad crítica sobre cPanel. cPanel confirmó haber parchado CVE-2026-58048, con puntaje CVSS 9.4, que afecta a todas las versiones de cPanel, WHM y WP Squared.

El mecanismo, en las palabras de la propia alerta: una cuenta cPanel autenticada puede acceder a la herramienta de bases de datos MySQL/MariaDB y ejecutar comandos arbitrarios en las bases de datos con privilegios de administrador. Dependiendo de la configuración del servidor, eso escala más allá de la base de datos del propio cliente.

Versiones que corrigen la falla: 11.110.0.137, 11.118.0.71, 11.126.0.78, 11.134.0.48, 11.136.0.32, y 138.1.6 para WP Squared. Para servidores que no puedan actualizarse de inmediato, el fabricante recomienda revocar la herramienta MySQL a los usuarios de cPanel, lo que mantiene las bases operativas pero cierra la vía de abuso.

Por qué importa acá

cPanel es el panel dominante entre los proveedores de hosting compartido de bajo y mediano costo, que es donde está alojada la mayor parte de las pymes, estudios profesionales, colegios y municipios chilenos con presencia web.

El modelo de hosting compartido significa que decenas o cientos de clientes dependen de la misma instancia de cPanel sobre el mismo servidor. La superficie de ataque no se mide por cliente, se mide por servidor, y el impacto de una falla crítica se multiplica por la cantidad de vecinos.

Bajo la Ley 21.663, si operas infraestructura crítica o servicios esenciales tienes deberes de reporte ante incidentes significativos — y un compromiso de servidor compartido puede activarlos aunque tu organización no haya sido el blanco, sino una víctima colateral por compartir infraestructura. Y si entre los datos expuestos hay información personal, la Ley 21.719 impone notificación y gestión del incidente.

Ese es el punto de gobernanza que suele pasarse por alto: la responsabilidad legal sobre los datos permanece contigo aunque el control técnico esté delegado en un tercero.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1078.003 — La cuenta cPanel legítima de cualquier cliente del servidor es el punto de partida.
• T1068 — De cuenta de cliente a comandos con privilegios de administrador sobre las bases de datos.
• T1213 — Las bases MySQL de los demás clientes del mismo servidor.
• T1584.004 — El servidor compartido pasa a ser plataforma para campañas contra terceros.

index=proxy OR index=web earliest=-60d
| eval ruta = lower(url)
| eval panel = if(match(ruta, ":(2082|2083|2086|2087|2095|2096)/"), 1, 0)
| eval phpmyadmin = if(match(ruta, "(phpmyadmin|/sql/|pma_)"), 1, 0)
| where panel=1 OR phpmyadmin=1
| stats count AS accesos, dc(src_ip) AS ips_distintas, values(src_ip) AS origenes,
        min(_time) AS primero, max(_time) AS ultimo by ruta, user
| convert ctime(primero) ctime(ultimo)
| where ips_distintas > 1 OR accesos > 50
| sort - accesos

// Accesos al panel de hosting desde fuera de la red corporativa
let puertos_cpanel = dynamic([2082, 2083, 2086, 2087, 2095, 2096]);
let rangos_propios = dynamic(["10.0.0.0/8","172.16.0.0/12","192.168.0.0/16"]);
DeviceNetworkEvents
| where Timestamp > ago(60d)
| where RemotePort in (puertos_cpanel)
| extend Interno = ipv4_is_in_any_range(LocalIP, rangos_propios)
| summarize Conexiones = count(), Equipos = make_set(DeviceName, 10),
            Cuentas = make_set(InitiatingProcessAccountName, 10)
        by RemoteIP, RemotePort, bin(Timestamp, 1d)
| order by Timestamp desc

Asunto: Consulta formal - CVE-2026-58048 en cPanel/WHM

Estimados,

Solicitamos confirmacion por escrito sobre la alerta AVC26-00727 de la Agencia Nacional
de Ciberseguridad, referida a CVE-2026-58048 (CVSS 9.4) en cPanel/WHM:

1. Version de cPanel/WHM en ejecucion en el servidor que aloja nuestro servicio,
   y fecha en que se aplico el parche.
2. Si aun no se aplica: fecha comprometida y si se implemento la medida temporal
   recomendada por el fabricante (revocar la herramienta MySQL a los usuarios cPanel).
3. Si se realizo revision de compromiso posterior al parche, y con que alcance.
4. Si nuestro servicio comparte servidor con otros clientes y, de ser asi, si detectaron
   actividad anomala en cuentas vecinas durante agosto de 2026.
5. Procedimiento y plazo de notificacion ante un incidente que afecte nuestros datos.

Esta consulta forma parte de nuestras obligaciones de diligencia sobre proveedores.
Agradecemos respuesta por escrito.

Fuentes

• ANCI / CSIRT NacionalAVC26-00727 — cPanel, vulnerabilidad crítica (CVE-2026-58048, CVSS 9.4) · 2026-08-04
• MITRE ATT&CKT1078.003 — Valid Accounts: Local Accounts
• MITRE ATT&CKT1068 — Exploitation for Privilege Escalation
• BCNLey 21.719 sobre protección de datos personales
• BCNLey 21.663, Ley Marco de Ciberseguridad

Relacionado