Błąd we wtyczce LiteSpeed dla cPanel pozwala każdemu kontu hostingowemu uruchamiać polecenia jako root. CISA potwierdza ataki. Zaktualizuj wtyczkę do 2.4.7 lub ją odinstaluj i sprawdź logi.
Ten alert jest dla zarządu, CTO i CFO firm, które mają strony lub sklepy na serwerach z panelem cPanel i serwerem LiteSpeed, własnych albo u dostawcy hostingu. Werdykt: jeśli na serwerze działa wtyczka LiteSpeed dla użytkowników cPanel starsza niż 2.4.7, zaktualizuj ją lub odinstaluj dziś, bo luka pozwala zwykłemu kontu hostingowemu przejąć cały serwer i jest aktywnie wykorzystywana.
Amerykańska agencja CISA 26 maja 2026 roku dopisała podatność CVE-2026-48172 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi we wtyczce LiteSpeed dla użytkownika panelu cPanel, czyli w dodatku, którym klient hostingu zarządza między innymi pamięcią podręczną swojej strony. Posiadacz dowolnego konta cPanel mógł przez funkcję włączania i wyłączania Redisa uruchomić dowolny skrypt z uprawnieniami administratora całego serwera (root).
CISA dała agencjom federalnym tylko trzy dni na usunięcie problemu, do 29 maja 2026 roku. Tak krótki termin to sygnał, że sprawa była gorąca. Od tego terminu minęło ponad trzy i pół miesiąca, więc serwer bez poprawki to dziś zaległość, a nie plan na kolejny kwartał.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-48172 |
Data dodania do CISA KEV | 2026-05-26 |
Termin naprawy wg CISA | 2026-05-29 (3 dni od wpisu) |
Produkt | LiteSpeed Technologies, wtyczka LiteSpeed dla użytkownika cPanel (instalowana razem z wtyczką LiteSpeed dla WHM) |
Wersje zagrożone | Producent: wtyczka użytkownika cPanel od 2.3 do 2.4.4. NVD: wtyczka cPanel starsza niż 2.4.7 oraz wtyczka WHM starsza niż 5.3.1.0 (producent twierdzi, że sama wtyczka WHM nie była podatna). Zagrożone są serwery, na których wtyczka użytkownika jest zainstalowana |
Wersje bezpieczne | Poprawka pierwotnego błędu: wtyczka cPanel 2.4.5. Zalecane minimum producenta i NVD: wtyczka WHM 5.3.1.0 z dołączoną wtyczką cPanel 2.4.7 lub nowsze (2.4.7 łata też dodatkowe słabości znalezione w przeglądzie). Najnowszą wersję podaje dziennik zmian producenta |
Typ podatności | Podniesienie uprawnień do poziomu root; CWE-266 (niepoprawne przypisanie uprawnień) |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA). MITRE: 10.0 (CVSS 4.0, KRYTYCZNA). Obie oceny zakładają atak przez sieć bez uprawnień, CISA i producent mówią o konieczności posiadania konta cPanel |
Rozbieżność co do uprawnień ma praktyczne znaczenie. Na własnym serwerze firmy, gdzie konta cPanel mają tylko zaufani pracownicy, napastnik musi najpierw zdobyć jedno z nich (np. wykradzione hasło). Na hostingu współdzielonym konto kupuje się za kilka złotych bez weryfikacji, więc wymóg posiadania konta praktycznie nie chroni.
Wyobraź sobie biurowiec, w którym każdy najemca ma kartę otwierającą tylko jego lokal. W windzie jest przycisk wzywający technika od klimatyzacji, a technik ma klucz uniwersalny do wszystkich drzwi. Usterka polega na tym, że przycisk nie wzywa technika, tylko od razu odblokowuje wszystkie drzwi w budynku temu, kto go wciśnie. Karta była potrzebna, żeby wejść do windy, więc formalnie nikt nie włamał się z ulicy. Skutek jest jednak taki, że najemca z parteru siedzi w serwerowni i w biurach wszystkich sąsiadów.
Tak działał błąd we wtyczce LiteSpeed. Klient hostingu klikał (albo wysyłał żądanie) „włącz lub wyłącz Redis”, a wtyczka przekazywała to do części systemu działającej z pełnymi uprawnieniami administratora, nie ograniczając, co da się w ten sposób uruchomić. Twoja strona może być aktualna i mieć długie hasła, a i tak paść ofiarą, jeśli atak przyjdzie przez konto zupełnie innego klienta na tej samej maszynie.
💡 cPanel to popularny panel, w którym klient hostingu zarządza stroną, pocztą i bazami danych, a WHM to panel administratora całego serwera. Root to konto administratora systemu Linux bez żadnych ograniczeń. Redis to pamięć podręczna przyspieszająca działanie stron. Hosting współdzielony oznacza, że na jednym serwerze działa wiele stron różnych firm. KEV (Known Exploited Vulnerabilities) to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Klient hostingu włącza pamięć podręczną Redis | Zmiana dotyczy tylko jego strony | Przez tę samą funkcję można uruchomić dowolny skrypt jako root |
Konto innego klienta na tym samym serwerze zostaje przejęte | Szkoda ogranicza się do jego strony | Napastnik przejmuje cały serwer, w tym Twoją stronę |
Kopia zapasowa robiona co noc na tym samym serwerze | Chroni przed awarią i pomyłką | Może zostać zaszyfrowana lub skasowana razem z resztą |
Formularze kontaktowe i płatności na stronie | Działają tak, jak je zaprojektowano | Mogą zostać po cichu podmienione, np. numer konta lub kod przechwytujący dane |
Rozdział między klientami hostingu | Każdy widzi tylko swoje pliki | Rozdział przestaje istnieć |
źródło: Pexels, Timothy HuliselanPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Punktem wyjścia jest zawsze konto cPanel: kupione, przejęte po wycieku hasła albo porzucone przez dawnego klienta.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Zdobycie konta | T+0 min | Zakup taniego hostingu na serwerze z LiteSpeed albo logowanie na wykradzione konto cPanel | Legalny dostęp do panelu jednego klienta |
2. Sprawdzenie wtyczki | T+5 min | Weryfikacja, czy wtyczka LiteSpeed w panelu ma podatną wersję | Potwierdzony cel |
3. Eskalacja | T+10 do 30 min | Wysłanie spreparowanego żądania do funkcji włączania i wyłączania Redisa | Uruchomienie skryptu z uprawnieniami root |
4. Utrwalenie | T+1 godz. | Założenie ukrytych kont, kluczy dostępu i tylnych furtek | Dostęp przetrwa nawet późniejszą aktualizację wtyczki |
5. Wykorzystanie serwera | T+1 do 7 dni | Kradzież baz danych klientów, podmiana stron, dopisanie kodu do formularzy, rozsyłanie spamu | Wyciek danych i szkody u wielu firm naraz |
6. Szantaż lub sprzedaż dostępu | T+1 do 4 tygodni | Szyfrowanie danych i żądanie okupu albo sprzedaż dostępu innym grupom | Przestój wszystkich stron na serwerze |
Mogę Ci jakoś pomóc?
Najważniejsza lekcja z tej luki: bezpieczeństwo Twojej strony na wspólnym serwerze zależy od najsłabszego konta na tej maszynie i od tempa, w jakim dostawca wgrywa poprawki. Firma może zrobić wszystko dobrze po swojej stronie i nadal stracić dane.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Niedziałająca strona, sklep lub poczta, odtwarzanie z kopii | Godziny do dni od przejęcia serwera | 10 tys. do 150 tys. PLN (przestój, odtworzenie, migracja) |
Bezpieczeństwo danych | Wyciek baz klientów, zamówień, danych z formularzy | Godziny do dni | 20 tys. do 150 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Utracona sprzedaż, wpłaty na podmienione konto, żądanie okupu | Dni do tygodni | 20 tys. do 300 tys. PLN łącznie |
Reputacyjny | Ostrzeżenia przeglądarek o zainfekowanej stronie, utrata zaufania klientów | Dni do miesięcy | 20 tys. do 200 tys. PLN (utracone zamówienia i kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu (zależnie od okoliczności i skali zaniedbań) | 72 godziny od wykrycia | 10 tys. do 100 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla serwera cPanel z wtyczką LiteSpeed
starszą niż 2.4.7
Wpływ
5 | . . . . ■ ← KRYTYCZNE (hosting współdzielony)
4 | . . . □ . ← WYSOKIE (własny serwer, zaufane konta)
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: na hostingu współdzielonym ryzyko jest krytyczne, bo konto cPanel jest łatwo dostępne, a skutkiem jest przejęcie całego serwera; na własnym serwerze z zaufanymi kontami prawdopodobieństwo jest niższe, bo napastnik musi najpierw zdobyć hasło, ale skutek pozostaje poważny.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy firma ma strony na serwerach cPanel z LiteSpeed (własnych lub u dostawcy) i jaka wersja wtyczki jest zainstalowana | Dziś | Administrator / opiekun hostingu |
2 | 🔴 NATYCHMIAST | Zaktualizować wtyczkę WHM do 5.3.1.0 lub nowszej (z wtyczką cPanel 2.4.7 lub nowszą), a jeśli to niemożliwe, odinstalować wtyczkę użytkownika | Dziś | Administrator serwera |
3 | 🔴 NATYCHMIAST | Na hostingu u dostawcy: wysłać pisemne pytanie o wersję wtyczki i datę aktualizacji | Dziś | CTO / osoba odpowiedzialna za umowę |
4 | 🟠 PILNIE | Przeszukać logi cPanel poleceniem podanym przez producenta i sprawdzić adresy IP z wyników | Do 3 dni | Administrator serwera |
5 | 🟠 PILNIE | Jeśli logi wskazują próby: przejrzeć konta systemowe, zadania cykliczne, klucze SSH i pliki stron pod kątem zmian | Do 7 dni | Administrator / zewnętrzny zespół bezpieczeństwa |
6 | 🟡 WAŻNIE | Przenieść kopie zapasowe stron i baz poza serwer, na którym działają | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Wpisać do umowy z dostawcą hostingu czas instalacji poprawek krytycznych i obowiązek informowania o incydentach | Przy najbliższym odnowieniu | CFO / CTO |
Polecenie do sprawdzenia logów podane przez producenta (wykonuje administrator serwera z uprawnieniami root):
grep -rE "cpanel_jsonapi_func=redisAble" /var/cpanel/logs /usr/local/cpanel/logs/ 2>/dev/null Brak wyniku oznacza, że próby wykorzystania nie odnotowano. Każdy wynik trzeba przeanalizować: sprawdzić adresy IP, zablokować nieprawidłowe i przejrzeć logi systemowe pod kątem działań z tych adresów.
Producent wydał poprawkę 21 maja 2026 roku, więc docelowo trzeba ją wgrać. Do tego czasu jedyną rekomendowaną przez producenta miarą jest usunięcie wtyczki użytkownika. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odinstalowanie wtyczki użytkownika poleceniem producenta | Wysoka: usuwa podatny element | Łatwa, klienci tracą przełącznik pamięci podręcznej w panelu |
Przegląd i usunięcie nieużywanych, porzuconych kont cPanel | Średnia: zmniejsza liczbę możliwych punktów wejścia | Średnia |
Wymuszenie silnych haseł i logowania dwuskładnikowego do cPanel | Średnia na własnym serwerze, niska na hostingu współdzielonym | Łatwa |
Codzienny przegląd logów cPanel pod kątem wywołań funkcji Redis | Niska jako ochrona, przydatna do wykrycia ataku | Łatwa |
Mogę Ci jakoś pomóc?
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Uprawnienia klienta cPanel | Może stać się administratorem serwera | Ograniczone do własnego konta |
Wiedza o próbach ataku | Brak, logi nieprzejrzane | Logi sprawdzone, adresy zweryfikowane |
Kopie zapasowe | Na tym samym serwerze, w zasięgu napastnika | Poza serwerem, odporne na jego przejęcie |
Relacja z dostawcą hostingu | Brak informacji o poprawkach | Pisemne potwierdzenie wersji i daty aktualizacji |
Zgodność z terminem CISA | Zaległość od 29 maja 2026 roku (termin wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Producent i opis CVE mówią o aktywnym wykorzystaniu w maju 2026 roku |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD (CVSS 3.1); 10.0 KRYTYCZNA wg MITRE (CVSS 4.0) |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Kto zgłosił błąd | David Strydom (wg producenta) |
Prognoza EPSS | Około 19% szansy wykorzystania w najbliższym czasie, powyżej 97% wszystkich znanych podatności (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2026-48172
CVSS 3.1 (NVD) 9.8/10 ███████████████████░ KRYTYCZNA
CVSS 4.0 (MITRE) 10.0/10 ████████████████████ KRYTYCZNA
EPSS ~19% ████░░░░░░░░░░░░░░░░ wysoki percentyl (97+)
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Unknown ░░░░░░░░░░░░░░░░░░░░ brak potwierdzenia 2026-05-19 Producent dowiaduje się o błędzie; cPanel udostępnia
polecenie usuwające wtyczkę; wydanie 2.4.6 i WHM 5.3.0.0
2026-05-20 Producent występuje o numer CVE
2026-05-21 Wydanie wtyczki cPanel 2.4.7 i WHM 5.3.1.0, komunikat
producenta, publikacja CVE w NVD
2026-05-26 CISA dodaje lukę do katalogu KEV
2026-05-29 Termin naprawy wg CISA dla agencji federalnych
2026-07-23 Ostatnia aktualizacja wpisu w NVD (analiza zakończona)
... ponad 3,5 miesiąca od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny komunikat producenta z wersjami, poleceniem sprawdzającym i obejściem: blog.litespeedtech.com: Security Update for LiteSpeed cPanel Plugin . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-48172 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Spisać wszystkie strony, sklepy i skrzynki pocztowe firmy działające na serwerach z cPanel | CTO | DZISIAJ |
2 | Uzyskać pisemne potwierdzenie wersji wtyczki LiteSpeed (cPanel 2.4.7 lub nowsza, WHM 5.3.1.0 lub nowsza) | CTO | DZISIAJ |
3 | Zatwierdzić odinstalowanie wtyczki użytkownika, jeśli aktualizacja nie jest możliwa od ręki | CTO | DZISIAJ |
4 | Zlecić sprawdzenie logów poleceniem producenta i przekazanie wyniku na piśmie | CTO | DO JUTRA |
5 | Sprawdzić, gdzie leżą kopie zapasowe stron i czy są poza serwerem produkcyjnym | CTO | DO JUTRA |
6 | Zarezerwować budżet na analizę powłamaniową, jeśli logi pokażą próby ataku | CFO | DO JUTRA |
7 | Przejrzeć umowę hostingową pod kątem czasu reakcji na krytyczne poprawki i zgłaszania incydentów | CFO | DO JUTRA |
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy nasze strony działają na serwerze z cPanel i LiteSpeed (własnym lub u dostawcy)? | TAK / NIE | 🔴 |
2 | Jaka wersja wtyczki LiteSpeed dla cPanel i dla WHM jest zainstalowana? | [wersja] | 🔴 |
3 | Kiedy wtyczka została zaktualizowana do 2.4.7 lub nowszej albo odinstalowana? | [data] | 🔴 |
4 | Czy polecenie grep z komunikatu producenta zwróciło jakiekolwiek wyniki? | TAK / NIE | 🟠 |
5 | Czy na serwerze są konta cPanel, których nikt nie używa lub nie potrafi przypisać do osoby? | TAK / NIE, [liczba kont] | 🟠 |
6 | Czy kopie zapasowe stron i baz danych są przechowywane poza tym serwerem? | TAK / NIE | 🟠 |
7 | Ile dni zajmuje nam (lub dostawcy) wgranie krytycznej poprawki od jej publikacji? | [liczba dni] | 🟡 |
CVE-2026-48172 pozwala każdemu kontu cPanel na serwerze z wtyczką LiteSpeed starszą niż 2.4.7 uruchamiać polecenia jako administrator całej maszyny. CISA potwierdza ataki, a termin naprawy minął 29 maja 2026 roku, więc aktualizacja lub odinstalowanie wtyczki to zadanie na dziś, a sprawdzenie logów i przeniesienie kopii zapasowych poza serwer na ten tydzień.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Przepełnienie bufora w FortiOS i FortiSwitchManager pozwala bez hasła uruchomić kod na zaporze. CISA potwierdza ataki, a przestępcy instalują trojana PivotC2. Zaktualizuj FortiOS i sprawdź zapory pod kątem włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.